El exploit de Aztec Connect drena $2.1M de un puente obsoleto

Aztec Labs afirma que la red actual y los contratos del token no se vieron afectados

TL;DR

• Aztec Connect fue explotado tras quedar obsoleto, con fondos drenados de antiguos contratos inteligentes.
• CertiK y BlockSec señalaron fallas relacionadas con la validación de pruebas y la lógica de liquidación en Ethereum.
• Aztec Labs dijo que no tenía claves de admin y que no podía pausar ni actualizar el sistema.

Opera de forma más inteligente en Jupiter, el DEX líder de Solana, creado para una ejecución rápida y una profunda liquidez. 

Intercambia tokens a tasas competitivas, enruta automáticamente a través de múltiples fuentes de liquidez y accede a perpetuos, DCA y herramientas avanzadas de trading — ¡todo en un solo lugar!

Aztec Connect, un puente de privacidad de DeFi obsoleto, fue explotado el 14 de junio de 2026, y un atacante drenó más de $2.1 millones de antiguos contratos inteligentes después de que firmas de seguridad identificaran fallas vinculadas a la verificación de pruebas y a la lógica de liquidación. Aztec Labs dijo que el incidente afectó a Aztec Connect, no a la red actual de Aztec, y afirmó que los activos en la red actual no se vieron impactados.

Aztec Connect se lanzó en 2022 como un puente zk-rollup en Ethereum que permitía a los usuarios interactuar de forma privada con protocolos DeFi como Aave y Lido mientras protegía los detalles de las transacciones mediante pruebas de conocimiento cero. El producto quedó obsoleto en marzo de 2023, cuando se detuvieron los depósitos y el equipo comenzó a desmantelar el puente tras redirigir recursos hacia la red Aztec de próxima generación.

Aztec Labs dejó de operar el secuenciador de Aztec Connect para marzo de 2024, separando aún más la infraestructura del puente retirado de la red actual de Aztec. Los contratos explotados se describieron como inmutables, lo que significa que no podían actualizarse, pausarse ni parchearse después de que se detectara la vulnerabilidad.

Aztec Labs dijo que estaba “investigando un posible exploit que afecta a Aztec Connect” y que aproximadamente $2.1 millones habían sido transferidos desde el contrato inteligente de la plataforma. La empresa añadió: “Aztec Labs no posee claves de admin ni control sobre el sistema; no puede ser pausado ni actualizado por nosotros.”

Firmas de seguridad señalan fallas en la prueba y la liquidación

CertiK señaló la transacción sospechosa en X y vinculó el exploit a una presunta falla en la lógica de verificación de pruebas de Aztec Connect. CertiK dijo que el exploit parecía derivarse de una validación incompleta de los datos de prueba enviados, donde una función del contrato verificaba solo el inicio de la prueba mientras que las instrucciones de transferencia de tokens integradas en otras partes de los datos podrían no haberse comprobado correctamente.

CertiK Alert publicó: “Hemos detectado una transacción sospechosa que drenó el contrato @aztecnetwork Router por ~$2.19M por 0x0f18d8b44a740272f0be4d08338d2b165b7edd17 en Ethereum. ¡Manténganse vigilantes!” El análisis de CertiK dijo que la falla permitió al atacante manipular retiros y drenar fondos del contrato router de Aztec Connect.

BlockSec dijo que el atacante explotó una discrepancia en cómo Aztec Connect verificaba las transacciones y las liquidaba en Ethereum. BlockSec dijo que las transacciones verificadas en el contrato de Aztec Connect “no estaban efectivamente vinculadas al conjunto de transacciones exigido por la prueba ZK”, lo que permitía que la ruta de verificación del contrato y la lógica de liquidación en Ethereum “interpretaran la lista de transacciones de forma diferente.”

El análisis de BlockSec dijo que el atacante podía introducir transacciones en las que el contrato acreditaba valor sin validarlo en Ethereum, creando saldos sin respaldo que luego podían retirarse. Según se informó, el atacante repitió la maniobra siete veces en siete activos diferentes.

El análisis de BlockSec Phalcon describió el problema raíz como una discrepancia en el límite entre el conjunto de transacciones verificadas y el procesamiento de liquidación de Layer 1. CertiK planteó el problema técnico como una validación incompleta de datos de prueba, mientras que BlockSec lo planteó como una discrepancia entre liquidación y verificación.

¡Hemos lanzado el nuevo COIN360 Perp DEX, creado para traders que se mueven rápido!

Opera con 130+ activos con hasta 100× de apalancamiento, disfruta de colocación instantánea de órdenes e intercambios con bajo deslizamiento, y gana rendimiento pasivo en USDC mientras escalas en la tabla de clasificación. Tus operaciones merecen más que velocidad — merecen maestría.