Exploit de escapeHatch del Private Rollup de Aztec

El 17 de junio de 2026, Aztec Network fue explotada por aproximadamente 2,16 millones de dólares cuando un atacante drenó su obsoleto Private Rollup Bridge — un producto lanzado en 2021 y dado de baja en 2022, cuyos contratos inmutables seguían activos en Ethereum. El golpe llegó apenas tres días después del exploit de verificación de pruebas de Aztec Connect, siendo la segunda pérdida de Aztec por infraestructura heredada en menos de una semana. La red actual, sus contratos inteligentes y el token AZTEC no se vieron afectados.

Qué ocurrió

Según SlowMist, que señaló las transacciones sospechosas, el atacante abusó de la función RollupProcessor.escapeHatch(), que carecía de control de acceso — no había una protección onlyOwner que restringiera quién podía invocarla. Para agravar el fallo, el contrato TurboVerifier aceptaba pruebas de escape incluso cuando rollupSize estaba en cero, y processDepositsAndWithdrawals() confiaba en entradas públicas proofData falsificadas — incluidas publicOutput, outputOwner y assetId — sin validar la propiedad real de los fondos ni los saldos de retiro. Al enviar datos de prueba fabricados, el atacante retiró activos que el contrato nunca le debía, drenando alrededor de 1.158 ETH, 150.000 DAI y 0,47 renBTC.

Consecuencias

Como el Private Rollup Bridge había sido dado de baja años antes y el equipo cedió el control administrativo al cerrar el producto, los contratos eran inmutables e irreversibles — no había pausa, actualización ni recuperación posibles una vez ejecutadas las llamadas. Aztec confirmó que la red y el token actuales nunca estuvieron en riesgo. No se informó de ninguna recuperación en el periodo inmediatamente posterior. Sumado a la pérdida de Aztec Connect del 14 de junio, ambos incidentes costaron a las plataformas heredadas de Aztec más de 4 millones de dólares en tres días.

Por qué importa

Este segundo exploit de Aztec refuerza la lección más persistente del catálogo — los contratos obsoletos siguen siendo superficie de ataque viva mucho después de que un proyecto avanza — ya vista con 1inch, Aevo y Yearn iEarn. Pero añade una advertencia más afilada: un escapeHatch se supone que es un mecanismo de seguridad, pero desplegar uno sin control de acceso convirtió la salida de emergencia en la puerta de entrada. Combinado con un verificador que aceptaba pruebas de rollup de tamaño cero, la salvaguarda se convirtió en la vulnerabilidad — un recordatorio de que las funciones de emergencia necesitan las protecciones más estrictas, no las más laxas, especialmente en código inmutable que nunca podrá corregirse.