Një kontratë inteligjente e braktisur nga protokolli i vdekur DeFi Aztec Connect u shfrytëzua për 2 milionë dollarë këtë javë — më shumë se tre vjet pasi platforma u mbyll. Incidenti nënvizon një rrezik të vazhdueshëm në financat e decentralizuara: sapo një kontratë është aktive në blockchain, ajo nuk mund të ndryshohet ose të vritet, duke lënë një objektiv të përhershëm për sulmuesit edhe pasi projekti vetë është zhdukur.
Si funksionoi shfrytëzimi
Sulmuesi tërhoqi rreth 2 milionë dollarë nga një kontratë që kishte mbetur e paprekur që kur Aztec Connect ndaloi operacionet në 2024. Për shkak se kontrata ishte e pandryshueshme — një tipar thelbësor i shumë protokolleve DeFi — askush nuk mund ta përditësonte për të bllokuar fondet ose për të çaktivizuar funksionalitetin pas mbylljes. Shfrytëzimi duket se ka shfrytëzuar një dobësi të njohur ose thjesht ka tërhequr fonde që ishin ende të arritshme për shkak të lejeve origjinale të kontratës.
Pse kontratat e pandryshueshme janë një rrezik
Pandryshueshmëria shpesh lavdërohet si një tipar sigurie në kodet e blockchain: askush nuk mund të ndryshojë rregullat pas vendosjes. Por i njëjti tipar bëhet një përgjegjësi kur një projekt mbyllet. Nëse një kontratë mban fonde të përdoruesve, jep të drejta tërheqjeje ose ndërvepron me protokolle të tjera, ato funksione mbeten aktive përgjithmonë. Rasti i Aztec Connect është një shembull klasik: ekipi u largua, por kontrata vazhdoi të funksiononte — dhe përfundimisht një sulmues e gjeti atë.
Hendeku në strategjitë e daljes
Shfrytëzimi nxjerr në pah një pjesë që mungon në planet e mbylljes së shumë projekteve DeFi. Pak protokolle projektohen për një çaktivizim të pastër dhe të pakthyeshëm të kontratave të tyre inteligjente. Hapat e thjeshtë — si shtimi i një funksioni pauze, një opsioni vetëshkatërrues (aty ku mbështetet) ose një mekanizmi migrimi — mund të zvogëlojnë rrezikun, por ato kërkojnë largpamësi gjatë zhvillimit. Në rastin e Aztec Connect, nuk kishte masa të tilla mbrojtëse kur projekti përfundoi.
Humbja prej 2 milionë dollarësh ka të ngjarë të mos rikuperohet. Për shkak se blockchain zbaton logjikën origjinale të kontratës, nuk ka asnjë autoritet qendror për të anuluar transaksionin ose për të kthyer fondet. Paratë janë zhdukur dhe sulmuesi mbetet anonim.
Çfarë mund të mësojë DeFi
Rregullatorët dhe studiuesit e sigurisë kanë paralajmëruar prej vitesh se kontratat e braktisura krijojnë bomba me sahat. Shfrytëzimi i Aztec Connect nuk është i pari — dhe ndoshta as i fundit — shembull i një kontrate të fjetur që plaçkitet. Pyetja tani është nëse zhvilluesit do ta trajtojnë pandryshueshmërinë e kontratës si një tipar që duhet fikur pasi një projekt vdes, ose do të vazhdojnë ta trajtojnë mbylljen thjesht si fikje të një faqeje interneti. Pa një ndryshim në mënyrën se si protokollet planifikojnë fundin e tyre, humbje të ngjashme ka të ngjarë të pasojnë.
