Hakerzy atakują przestarzały produkt Aztec po raz drugi w tygodniu
Protokół prywatności Aztec padł ofiarą exploitu o wartości około 2,16 mln USD, wymierzonego w przestarzały produkt płatniczy. Atak, związany z luką w walidacji, nastąpił cztery dni po podobnym włamaniu na kwotę 2,1 mln USD, co wzmogło obawy dotyczące bezpieczeństwa przestarzałych, ale wciąż używanych inteligentnych kontraktów.
Krótka analiza: co naprawdę się dzieje
Na pierwszy rzut oka to, co stało się z Aztec, to po prostu kolejny hack protokołu DeFi, których w 2026 roku było już ponad 30, a łączna suma skradzionych środków przekroczyła 600 mln USD. Jednak podwójny atak na przestarzałe, ale wciąż zawierające aktywa kontrakty ujawnia systemowy problem, który zagraża nie tylko Aztec, ale całej filozofii decentralizacji. Chodzi o „ryzyka dziedziczne” – bomby zegarowe wbudowane w architekturę wczesnych protokołów DeFi, które ich twórcy, dążąc do maksymalnej decentralizacji, uczynili niezarządzalnymi i odpornymi na łatki, ale nie na ataki.
W okresie od 14 do 17 czerwca 2026 roku hakerzy ukradli Aztec ponad 4,3 mln USD, atakując dwa różne, ale równie bezbronne inteligentne kontrakty, które zostały dezaktywowane już w 2022 i 2023 roku. Pierwsze włamanie dotknęło Aztec Connect, drugie – Private Rollup Bridge. I choć fundacja Aztec pospieszyła zapewnić rynek, że bieżąca sieć i token AZTEC nie ucierpiały, cena tokena spadła o około 1,6%, co pokazuje, że zaufanie inwestorów zostało nadszarpnięte i nie rozróżniają oni „starej” i „nowej” infrastruktury projektu.
Chronologia i kontekst
Pierwszy incydent miał miejsce 14 czerwca 2026 roku, gdy atakujący znalazł lukę w kontrakcie Aztec Connect, który został oficjalnie zamknięty w marcu 2023 roku. Był to klasyczny atak na niezgodność w procesie weryfikacji dowodów z wiedzą zerową (zk-proof). System weryfikacji dowodów przetwarzał transakcje w grupach po 32, podczas gdy kod rozliczeniowy na blockchainie przetwarzał tylko tyle transakcji, ile zadeklarowano w pakiecie. Haker wykorzystał tę niezgodność, aby stworzyć 14 fałszywych pakietów i wyprowadzić około 909 ETH, 270 513 DAI oraz inne aktywa, w tym wstETH, o łącznej wartości około 2,19 mln USD. Następnego dnia, 15 czerwca, ta sama technika została użyta do wyprowadzenia kolejnych 88 000 USD z pozostałych pozycji na mostach DeFi.
Jednak najbardziej niepokojący był drugi incydent, który miał miejsce zaledwie trzy dni później – 17 czerwca. Tym razem celem był Private Rollup Bridge, stary most uruchomiony w 2021 roku i zamknięty w 2022. Exploit był związany z funkcją awaryjnego wypłaty escapeHatch() w kontrakcie RollupProcessor. Funkcja ta została stworzona do awaryjnego wypłacania środków w przypadku awarii głównego procesu, ale, jak się okazało, brakowało w niej krytycznych kontroli autoryzacji, w tym weryfikacji podpisu. Haker wykorzystał lukę, ustawiając parametr rollupSize na 0, co zmusiło walidator do przyjęcia fałszywego dowodu i wypłaty 1 158 ETH, 150 000 DAI i 0,46 renBTC o wartości około 2,16 mln USD.
Tak więc ataki różniły się techniką i były wymierzone w różne kontrakty, ale łączył je jeden fundamentalny problem: oba kontrakty były „niezmienne” (immutable), a zespół Aztec nie posiadał kluczy administracyjnych do ich zatrzymania lub aktualizacji.
Kto wygrywa, a kto przegrywa
W tej sytuacji są zarówno oczywiste, jak i niejawne ofiary, a także ci, którzy mogą czerpać korzyści z cudzego nieszczęścia.
Przegrani: użytkownicy i posiadacze aktywów. Bezpośrednia strata w wysokości 4,3 mln USD to środki realnych użytkowników, którzy z jakiegoś powodu nie wyprowadzili swoich aktywów z przestarzałych kontraktów, mimo że zespół Aztec ostrzegał o tym od 2024 roku. Ci ludzie nie tylko stracili pieniądze – stracili je w systemie, który został stworzony jako gwarancja bezpieczeństwa.
Przegrani: reputacja Aztec i segmentu prywatnych zk-rollupów. Choć technicznie hack nie dotknął bieżącej sieci Aztec, jest to poważny cios w zaufanie do całego projektu i technologii jako takiej. Inwestorzy zaczynają zadawać pytania: „Jeśli deweloperzy nie mogą chronić starych kontraktów, jak ochronią nowe?”. Ryzykowne aktywa, takie jak AZTEC, wykazują zwiększoną zmienność w odpowiedzi na takie wiadomości.
Pośredni przegrani: cała branża DeFi. Te włamania miały miejsce na tle niepokojącego trendu: według DefiLlama, tylko w pierwszej połowie czerwca 2026 roku straty protokołów DeFi przekroczyły 43 mln USD. Incydenty z Aztec, Thetanuts Finance i innymi projektami tworzą narrację o „DeFi jako Dzikim Zachodzie”, która może skłonić regulatorów do jeszcze ostrzejszych działań. Jest to szczególnie nie na rękę w kontekście terminu MiCA.
Zwycięzcy: konkurencyjne projekty i protokoły ubezpieczeniowe. Projekty takie jak zkSync, StarkNet czy Polygon, które oferują bardziej zarządzalne i aktualizowalne rozwiązania, mogą wykorzystać tę sytuację jako argument na rzecz swojej architektury. Jednocześnie protokoły ubezpieczeń DeFi (np. Nexus Mutual) mogą odnotować wzrost popytu na swoje polisy, ponieważ rynek uświadamia sobie nowe ryzyka.
Zwycięzcy: wyspecjalizowane firmy zajmujące się bezpieczeństwem blockchain. Każdy nowy hack to kontrakt dla firm takich jak PeckShield, SlowMist i BlockSec, które prowadzą dochodzenia i audyty. Stają się one krytyczne dla przetrwania całego ekosystemu.
Czego media nie mówią
Powierzchowne artykuły skupiają się na faktach włamań i kwotach strat, ale pomijają kilka fundamentalnych aspektów, które mają głębsze konsekwencje.
Insight nr 1: Niezmienność jako „pięta achillesowa” decentralizacji. Kiedy Satoshi Nakamoto tworzył Bitcoina, idea niezmiennego kodu była kamieniem węgielnym zaufania. Jednak w przypadku złożonych protokołów DeFi niezmienność staje się przekleństwem. Projekty zrzekają się własności (renounce ownership), aby udowodnić swoją decentralizację, ale w efekcie tworzą „cyfrowe ruiny” – kontrakty, których nikt nie może naprawić. Analityk blockchain Blockful trafnie zauważył: „Stare kontrakty stają się otwartymi celami dla hakerów, a gdy protokoły zrzekają się odpowiedzialności za ich utrzymanie, stają się jeszcze bardziej atrakcyjnym celem”. Aztec podjął ten krok w kwietniu 2024 roku, aby umożliwić użytkownikom samodzielne wyprowadzenie środków bez udziału zespołu. Ta decyzja teraz wygląda na kosztowny błąd.
Insight nr 2: Techniczna niewypłacalność to nie jedyny problem. Drugie włamanie było możliwe dzięki luce w mechanizmie „escape hatch”. To nie tylko bug w kodzie, to fundamentalna wada architektury, która mogła zostać wykryta i naprawiona tylko przy aktywnym nadzorze. W rzeczywistości zespół Aztec stworzył „tylne drzwi” w systemie, a następnie oddał klucze – i nie sprawdził, czy drzwi są zamknięte. To nie była tylko awaria weryfikacji dowodów, to była porażka w projektowaniu ekonomicznego bezpieczeństwa systemu.
Insight nr 3: Sygnał dla rynku: na ile możemy ufać „starym” i „sprawdzonym” protokołom? Rynek przywykł do myślenia, że im dłużej działa inteligentny kontrakt i im więcej środków przez niego przepłynęło, tym jest bezpieczniejszy. Seria włamań Aztec dowodzi czegoś przeciwnego: z biegiem czasu przestarzałe kontrakty stają się bardziej podatne na ataki, a nie mniej, ponieważ nie dostosowują się do nowych metod ataków, a ich kod źródłowy staje się przedmiotem wnikliwej analizy hakerów. Analitycy SlowMist już ostrzegli, że stare kontrakty zawierające aktywa stają się stałą „bombą zegarową”.
Prognoza: następne 30 dni i 90 dni
Prognoza na 30 dni (lipiec 2026): panika wśród posiadaczy „zapomnianych” aktywów. Lipiec 2026 roku upłynie pod znakiem „czyszczenia” starych kontraktów. Użytkownicy, którzy jeszcze nie wyprowadzili środków z dezaktywowanych protokołów (nie tylko Aztec, ale także innych), zaczną masowo je wyprowadzać, obawiając się powtórzenia podobnych ataków. Stworzy to dodatkową presję na rynek, ale nie tyle na ceny, ile na płynność drugorzędnych aktywów. Ponadto zobaczymy wzrost aktywności firm audytorskich, które zaczną oferować usługi „audytu awaryjnego” starych kontraktów.
Prognoza na 90 dni (wrzesień 2026): odpowiedź regulacyjna i zmiana paradygmatu. Biorąc pod uwagę ogólny kontekst zaostrzania regulacji w UE (MiCA) i USA, takie incydenty staną się „pożywką” dla prawodawców. Prawdopodobnie pojawią się wymogi, aby protokoły nie tylko dezaktywowały, ale także „zamrażały” lub niszczyły stare kontrakty, albo zapewniały pokrycie ubezpieczeniowe dla pozostawionych w nich środków. Rynek zareaguje na to wzrostem kapitalizacji projektów oferujących zarządzalne, aktualizowalne inteligentne kontrakty i spadkiem zainteresowania radykalnie zdecentralizowanymi, ale niezarządzalnymi protokołami.
Prognoza redakcji
W ciągu najbliższych 24–72 godzin spodziewamy się kontynuacji presji spadkowej na token AZTEC, który już stracił 1,6% po wiadomościach o włamaniu. Kluczowym poziomem wsparcia jest 0,015 USD, a po jego przebiciu możliwa jest korekta do 0,014 USD. Stopień pewności – średni, ponieważ główne ryzyko dla prognozy polega na tym, że Aztec Labs lub fundacja mogą ogłosić program rekompensat dla poszkodowanych użytkowników, co może tymczasowo ustabilizować cenę. Jednak fundamentalnie zaufanie do projektu zostało nadszarpnięte i bez pozytywnych wiadomości o rozwoju głównej sieci odbudowa tokena w krótkim terminie jest mało prawdopodobna. Jest to opinia redakcji, a nie rekomendacja inwestycyjna.
— Editorial Team
