Een verlaten slim contract van het opgeheven DeFi-protocol Aztec Connect werd deze week geëxploiteerd voor $2 miljoen — meer dan drie jaar nadat het platform werd stopgezet. Het incident onderstreept een blijvend gevaar in gedecentraliseerde financiën: zodra een contract eenmaal op de blockchain staat, kan het niet worden gewijzigd of vernietigd, waardoor het een blijvend doelwit blijft voor aanvallers, zelfs nadat het project zelf is verdwenen.
Hoe de aanval werkte
De aanvaller haalde ongeveer $2 miljoen uit een contract dat onaangeroerd was gebleven sinds Aztec Connect in 2024 stopte met opereren. Omdat het contract onveranderlijk was — een kernfunctie van veel DeFi-protocollen — kon niemand het updaten om de fondsen te vergrendelen of functionaliteit uit te schakelen na de stopzetting. De aanval lijkt gebruik te hebben gemaakt van een bekende kwetsbaarheid of haalde simpelweg fondsen weg die nog toegankelijk waren vanwege de oorspronkelijke permissies van het contract.
Waarom onveranderlijke contracten een risico vormen
Onveranderlijkheid wordt vaak geprezen als een beveiligingsfunctie in blockchaincode: niemand kan de regels wijzigen na implementatie. Maar diezelfde eigenschap wordt een aansprakelijkheid wanneer een project stopt. Als een contract gebruikersfondsen vasthoudt, opnamerechten verleent of interageert met andere protocollen, blijven die functies voor altijd actief. De zaak van Aztec Connect is een schoolvoorbeeld: het team vertrok, maar het contract bleef draaien — en uiteindelijk vond een aanvaller het.
Het gat in exitstrategieën
De aanval benadrukt een ontbrekend onderdeel in de stopzettingsplannen van veel DeFi-projecten. Weinig protocollen ontwerpen voor een schone, onomkeerbare deactivering van hun slimme contracten. Eenvoudige stappen — zoals het toevoegen van een pauzefunctie, een zelfvernietigingsoptie (indien ondersteund) of een migratiemechanisme — kunnen het risico verkleinen, maar vereisen vooruitziendheid tijdens de ontwikkeling. In het geval van Aztec Connect waren dergelijke veiligheidsmaatregelen niet aanwezig toen het project eindigde.
Het verlies van $2 miljoen is waarschijnlijk niet terug te krijgen. Omdat de blockchain de oorspronkelijke contractlogica afdwingt, is er geen centrale autoriteit om de transactie terug te draaien of de fondsen terug te vorderen. Het geld is weg en de aanvaller blijft anoniem.
Wat DeFi kan leren
Toezichthouders en beveiligingsonderzoekers waarschuwen al jaren dat verlaten contracten tikkende tijdbommen zijn. De aanval op Aztec Connect is niet de eerste — en waarschijnlijk niet de laatste — keer dat een slapend contract wordt geplunderd. De vraag is nu of ontwikkelaars contractonveranderlijkheid zullen behandelen als een functie die moet worden uitgeschakeld nadat een project sterft, of zullen blijven doen alsof stopzetten alleen het uitzetten van een website is. Zonder een verandering in hoe protocollen plannen maken voor hun eigen einde, zullen soortgelijke verliezen waarschijnlijk volgen.
