Un contratto intelligente abbandonato del protocollo DeFi ormai defunto Aztec Connect è stato sfruttato per 2 milioni di dollari questa settimana — più di tre anni dopo che la piattaforma ha chiuso. L'incidente sottolinea un pericolo persistente nella finanza decentralizzata: una volta che un contratto è attivo sulla blockchain, non può essere modificato o disattivato, rimanendo un bersaglio permanente per gli aggressori anche dopo che il progetto stesso è scomparso.
Come ha funzionato lo sfruttamento
L'attaccante ha prosciugato circa 2 milioni di dollari da un contratto che era rimasto intatto da quando Aztec Connect ha cessato le operazioni nel 2024. Poiché il contratto era immutabile — una caratteristica fondamentale di molti protocolli DeFi — nessuno ha potuto aggiornarlo per bloccare i fondi o disabilitare le funzionalità dopo la chiusura. Lo sfruttamento sembra aver approfittato di una vulnerabilità nota o semplicemente prelevato fondi ancora accessibili grazie ai permessi originali del contratto.
Perché i contratti immutabili sono un rischio
L'immutabilità è spesso elogiata come una caratteristica di sicurezza nel codice blockchain: nessuno può cambiare le regole dopo il dispiegamento. Ma quella stessa caratteristica diventa una responsabilità quando un progetto chiude. Se un contratto detiene fondi degli utenti, concede diritti di prelievo o interagisce con altri protocolli, quelle funzioni rimangono attive per sempre. Il caso di Aztec Connect è un esempio da manuale: il team se n'è andato, ma il contratto ha continuato a funzionare — e alla fine un attaccante lo ha trovato.
Il divario nelle strategie di uscita
Lo sfruttamento evidenzia un elemento mancante nei piani di chiusura di molti progetti DeFi. Pochi protocolli progettano una disattivazione pulita e irreversibile dei loro contratti intelligenti. Semplici accorgimenti — come aggiungere una funzione di pausa, un'opzione di autodistruzione (dove supportata) o un meccanismo di migrazione — potrebbero ridurre il rischio, ma richiedono lungimiranza durante lo sviluppo. Nel caso di Aztec Connect, non erano state implementate tali salvaguardie quando il progetto è terminato.
La perdita di 2 milioni di dollari è probabilmente irrecuperabile. Poiché la blockchain applica la logica originale del contratto, non esiste un'autorità centrale per annullare la transazione o recuperare i fondi. Il denaro è sparito e l'attaccante rimane anonimo.
Cosa può imparare la DeFi
Regolatori e ricercatori di sicurezza avvertono da anni che i contratti abbandonati creano bombe a orologeria. Lo sfruttamento di Aztec Connect non è il primo — e probabilmente non sarà l'ultimo — esempio di un contratto dormiente saccheggiato. La domanda ora è se gli sviluppatori tratteranno l'immutabilità dei contratti come una caratteristica da disattivare dopo la morte di un progetto, o continueranno a considerare la chiusura come semplicemente spegnere un sito web. Senza un cambiamento nel modo in cui i protocolli pianificano la propria fine, perdite simili probabilmente seguiranno.
