Ett övergivet smartkontrakt från det nedlagda DeFi-protokollet Aztec Connect exploaterades för 2 miljoner dollar denna vecka – mer än tre år efter att plattformen stängdes. Händelsen understryker en bestående fara inom decentraliserad finans: när ett kontrakt väl är live på blockkedjan kan det inte ändras eller dödas, vilket lämnar ett stående mål för angripare även efter att själva projektet är borta.
Så fungerade exploateringen
Angriparen tömde cirka 2 miljoner dollar från ett kontrakt som hade varit orört sedan Aztec Connect upphörde med sin verksamhet 2024. Eftersom kontraktet var oföränderligt – en kärnfunktion i många DeFi-protokoll – kunde ingen uppdatera det för att låsa medlen eller inaktivera funktionalitet efter nedläggningen. Exploateringen verkar ha utnyttjat en känd sårbarhet eller helt enkelt tagit ut medel som fortfarande var tillgängliga på grund av kontraktets ursprungliga behörigheter.
Varför oföränderliga kontrakt är en risk
Oföränderlighet hyllas ofta som en säkerhetsfunktion i blockkedjekod: ingen kan ändra reglerna efter driftsättning. Men samma egenskap blir en belastning när ett projekt läggs ner. Om ett kontrakt innehar användarmedel, ger uttagsrättigheter eller interagerar med andra protokoll, förblir dessa funktioner aktiva för alltid. Aztec Connects fall är ett typexempel: teamet lämnade, men kontraktet fortsatte att köras – och till slut hittade en angripare det.
Luckan i avslutningsstrategier
Exploateringen belyser en saknad pusselbit i många DeFi-projekts nedläggningsplaner. Få protokoll designas för en ren, oåterkallelig avaktivering av sina smartkontrakt. Enkla steg – som att lägga till en pausfunktion, ett självförstörelsealternativ (där det stöds) eller en migrationsmekanism – skulle kunna minska risken, men de kräver framförhållning under utvecklingen. I Aztec Connects fall fanns inga sådana skyddsåtgärder på plats när projektet avslutades.
Förlusten på 2 miljoner dollar är osannolikt återvinningsbar. Eftersom blockkedjan upprätthåller den ursprungliga kontraktslogiken finns det ingen central myndighet som kan vända transaktionen eller återkräva medlen. Pengarna är borta, och angriparen förblir anonym.
Vad DeFi kan lära sig
Regleringsorgan och säkerhetsforskare har i åratal varnat för att övergivna kontrakt skapar tickande bomber. Aztec Connect-exploateringen är inte den första – och förmodligen inte den sista – av ett vilande kontrakt som plundras. Frågan nu är om utvecklare kommer att behandla kontraktsoföränderlighet som en funktion som ska stängas av efter ett projekts död, eller fortsätta att se nedläggningar som att bara stänga av en webbplats. Utan en förändring i hur protokoll planerar för sitt eget slut kommer liknande förluster sannolikt att följa.
