En forlatt smartkontrakt fra den nedlagte DeFi-protokollen Aztec Connect ble utnyttet for 2 millioner dollar denne uken – mer enn tre år etter at plattformen la ned. Hendelsen understreker en vedvarende fare i desentralisert finans: når en kontrakt først er live på blokkjeden, kan den ikke endres eller drepes, og etterlater et stående mål for angripere selv etter at prosjektet selv er borte.
Slik fungerte utnyttelsen
Angriperen tappet omtrent 2 millioner dollar fra en kontrakt som hadde vært urørt siden Aztec Connect avsluttet driften i 2024. Fordi kontrakten var uforanderlig – en kjernefunksjon i mange DeFi-protokoller – kunne ingen oppdatere den for å låse midlene eller deaktivere funksjonalitet etter nedleggelsen. Utnyttelsen ser ut til å ha utnyttet en kjent sårbarhet eller rett og slett trukket ut midler som fortsatt var tilgjengelige på grunn av kontraktens opprinnelige tillatelser.
Hvorfor uforanderlige kontrakter er en risiko
Uforanderlighet blir ofte rost som en sikkerhetsfunksjon i blokkjede-kode: ingen kan endre reglene etter utrulling. Men den samme egenskapen blir en byrde når et prosjekt legges ned. Hvis en kontrakt holder brukermidler, gir uttaksrettigheter, eller samhandler med andre protokoller, forblir disse funksjonene aktive for alltid. Aztec Connects tilfelle er et lærebokeksempel: teamet gikk bort, men kontrakten fortsatte å kjøre – og til slutt fant en angriper den.
Hullet i avslutningsstrategier
Utnyttelsen fremhever en manglende brikke i mange DeFi-prosjekters nedleggelsesplaner. Få protokoller er designet for en ren, irreversibel deaktivering av sine smartkontrakter. Enkle grep – som å legge til en pausefunksjon, en selvødeleggelsesmulighet (der det støttes), eller en migreringsmekanisme – kunne redusere risikoen, men de krever forutseenhet under utvikling. I Aztec Connects tilfelle var ingen slike sikkerhetstiltak på plass da prosjektet ble avsluttet.
Tapet på 2 millioner dollar er neppe mulig å få tilbake. Fordi blokkjeden håndhever den opprinnelige kontraktlogikken, finnes det ingen sentral myndighet som kan reversere transaksjonen eller hente tilbake midlene. Pengene er borte, og angriperen forblir anonym.
Hva DeFi kan lære
Regulatorer og sikkerhetsforskere har i årevis advart om at forlatte kontrakter skaper tikkende bomber. Aztec Connect-utnyttelsen er ikke den første – og sannsynligvis ikke den siste – eksemplet på en sovende kontrakt som blir plyndret. Spørsmålet nå er om utviklere vil behandle kontrakters uforanderlighet som en funksjon som skal slås av etter at et prosjekt dør, eller fortsette å behandle nedleggelser som bare å slå av en nettside. Uten en endring i hvordan protokoller planlegger for sin egen slutt, vil lignende tap sannsynligvis følge.
