Aztec-Connect-Exploit der Proof-Verifikation

Am 14. Juni 2026 wurde Aztec Connect — eine abgeschaltete Privacy-Bridge und ein zk-Rollup, das Aztec Labs 2023 eingestellt hatte — um etwa 2,1 Millionen US-Dollar erleichtert, als ein Angreifer eine lückenhafte Proof-Prüfung ausnutzte, um Mittel abzuheben, die das System nie hielt. Die Verluste trafen ausschließlich die alte Plattform; das aktuelle Aztec Network und sein Token waren nicht betroffen.

Was geschah

Laut CertiK, das die verdächtige Transaktion meldete, sowie BlockSec und Aztec Labs nutzte der Angreifer einen Fehler in der Transaktionsverifikations-Logik von Aztec Connect aus. Eine Vertragsfunktion prüfte nur den Anfang des eingereichten Proofs, während an anderer Stelle in den Calldata eingebettete Token-Transfer-Anweisungen nicht ordnungsgemäß überprüft wurden. Diese Lücke erlaubte es dem Angreifer, ungedeckte Guthaben zu erzeugen und abzuheben — also Werte aus einer Prüfung zu schöpfen, die nie durchgesetzt wurde. Über sieben Transaktionen zog der Angreifer rund 909 ETH, 270.000 DAI, 167 Wrapped Staked ETH sowie mehrere weitere Vermögenswerte ab, insgesamt etwa 2,1 Millionen US-Dollar auf Ethereum, wo die Bridge-Verträge von Aztec Connect lagen.

Folgen

Da Aztec Connect seit 2023 abgeschaltet war und seine Verträge vollständig unveränderlich sind, hatte Aztec Labs keine Möglichkeit, zu pausieren, zu aktualisieren oder einzugreifen, sobald die Schwachstelle ausgelöst war. Das Team bestätigte, dass nur die alte Plattform betroffen war und Mittel im aktuellen Aztec Network nie gefährdet waren. Eine Rückgewinnung wurde unmittelbar danach nicht gemeldet.

Warum es wichtig ist

Der Aztec-Connect-Vorfall ist ein Musterbeispiel für das hartnäckigste Thema des Katalogs: abgeschaltete Verträge bleiben eine aktive Angriffsfläche, lange nachdem ein Projekt weitergezogen ist — wie die Legacy-Vertrags-Einstiegspunkte hinter 1inch, Aevo und Yearn iEarn. Er unterstreicht zudem die Kehrseite der Unveränderlichkeit: Dieselbe Eigenschaft, die ein Rollup vertrauensminimiert macht, bedeutet, dass es nach Auslieferung eines Verifikationsfehlers keinen Upgrade-Pfad und keinen Pause-Knopf gibt — die einzige Verteidigung besteht darin, die Proof-Prüfungen exakt richtig zu machen, bevor der Code für immer eingefroren wird.