Aztec Connect 閒置智慧合約被盜 210 萬美元？深入分析 + 常見問題比較表

在 2023 年 3 月被正式棄用的 Aztec Connect，原先是以太坊上的隱私導向 ZK Rollup 方案，曾作為 DeFi 橋接服務執行。然而，即使團隊已停止維護，該平臺的不可變智慧合約仍然持有超過 200 萬美元的加密資產。2024 年 6 月，這筆「沉睡的資金」成為駭客的目標，成功被盜走約 2.1 百萬美元。本文將從攻擊手法、損失情況及防護建議進行完整剖析，並提供比較表與 FAQ，幫助你在未來避免類似風險。

什麼是 Aztec Connect？為何會被攻擊？

Aztec Connect 是 Aztec Labs 推出的第二代隱私Layer‑2，最初於 2022 年作為 DeFi 橋接工具上線，提供隱私交易與跨鏈交換功能。2023 年 3 月，團隊宣佈停用並將資源轉向新一代 Aztec Network，合約因此完全不可變（immutable），無法暫停或升級。這意味著：

• 團隊不再擁有 admin keys，無法幹預合約行為。
• 合約仍保留原來的驗證函式（verification function），用於驗證 ZK 證明。
• 即使服務廢棄，合約內部的資產仍是公開且可被呼叫的目標。

攻擊手法細節：驗證函式失配如何運作？

根據區塊鏈安全公司 BlockSec 的分析，攻擊者利用了驗證函式失配（verification mismatch）的漏洞：

• Aztec Connect 的驗證邏輯在本地（合約）與在以太坊結算層之間存在不一致。
• 攻擊者構造一筆交易，使合約在本地認證透過，但在以太坊結算時未被正確繫結。
• 因此，合約會在未實際驗證的情況下記入價值，產生「無背書餘額」可被提取。
• 攻擊者連續 7 次操作，分別提取 7 種不同資產。

損失了多少？被盜資產一覽

本次漏洞造成約 2.1 百萬美元的加密資產流失，主要資產如下：

• 909 ETH（約 1.6 百萬美元）
• 270,000 Dai (DAI)（約 270 千美元）
• 167 wstETH（包裝質押以太坊）
• 其餘包括少量其他 ERC‑20 代幣，總計約 2.1 百萬美元。

其他 DeFi 平臺類似案例比較

以下表格列出近期被廢棄或已棄用 DeFi 合約被盜的案例，供讀者比較：

平臺	棄用時間	安全機制	被盜金額
Aztec Connect	2023‑03	不可變合約（無 admin）	≈$2.1M
Humanity Protocol	2024‑06	私鑰洩露	$30M
Syscoin Bridge	2024‑06	假證明攻擊	$8M
其它 DeFi 計畫（平均）	不同	升級合約	數十萬～數百萬美元

如何保護自己的資產？

• 定期檢查錢包：即使使用過的橋接或 LP 合約已棄用，仍要確認餘額是否已取出。
• 遷移至新合約：若專案提供遷移路徑，果斷將資產轉移至新升級的合約。
• 使用多簽錢包：大額資產建議使用硬體錢包或多簽，避免單點故障。
• 關注官方公告：第一時間取得停用、升級或安全警告資訊，可透過官方 X（Twitter）或 Discord 追蹤。
• 使用區塊鏈瀏覽器：利用 Etherscan 等區塊鏈瀏覽器查詢合約程式碼是否已「不可變」。

常見問題FAQ

• Q1: 這次攻擊是否影響我現在的 Aztec Network 資產？
  A: 不會。攻擊只針對已棄用的 Aztec Connect 合約，現行網路未受損。
• Q2: 損失的 ETH 是否可以追回？
  A: 目前尚未有官方回覆是否能夠追回，建議持續關注區塊鏈追蹤與法律進展。
• Q3: 為何團隊不直接暫停合約？
  A: 合約已完全不可變，團隊已無 admin keys，無法暫停或升級。
• Q4: 我該如何確認自己的錢包是否有 Aztec Connect 的餘額？
  A: 使用區塊鏈瀏覽器輸入你的錢包地址，查詢合約 0x... 的餘額。
• Q5: 這次攻擊是否說明所有「廢棄」DeFi 合約都有風險？
  A: 大多數情況是，但風險取決於合約是否仍保留資產以及是否仍可被外部呼叫。
• Q6: ZK 證明的驗證失配是什麼？
  A: 簡單說就是本地驗證與以太坊結算時的邏輯不一致，導致未經授權的交易被接受。
• Q7: 我該怎麼避免類似攻擊？
  A: 定期檢查並遷移資產、使用硬體錢包、關注專案安全公告。
• Q8: 這次的漏洞是否屬於「零日」攻擊？
  A: 屬於已知但未修補的漏洞，因合約已不可變，無法再補丁。

💡 立即行動：如果你在 Aztec Connect 仍有餘額，趕快登入錢包並將資產轉出至安全的錢包或新合約，避免成為下一個受害者。

🔐 想更瞭解區塊鏈安全？立即訂閱我們的「區塊鏈安全資訊」專案，獲取最新漏洞警報與防護教學。