Explotan contrato inteligente abandonado de Aztec Connect por $2.1 millones en criptomonedas

El incidente expone los riesgos de los contratos DeFi inactivos, mientras el exploit se suma a los $44 millones robados en junio de 2025.

Un atacante drenó aproximadamente $2.1 millones en criptomonedas del contrato inteligente de Aztec Connect, una plataforma DeFi descontinuada, al explotar una falla en su función de verificación. El incidente, ocurrido el pasado domingo, no afectó a los usuarios ni a los activos de la actual red Aztec Network, según informó Aztec Labs. Este exploit se suma a los $44 millones robados en al menos 12 ataques durante junio de 2025, según datos de DeFiLlama.

Detalles del Exploit

Aztec Labs confirmó el ataque el domingo a través de X (antes Twitter), donde el equipo declaró:

«Investigando un potencial exploit que afecta a Aztec Connect… alrededor de $2.1 millones fueron transferidos desde el contrato inteligente de la plataforma».

La compañía aclaró que los usuarios actuales de Aztec Network no se vieron afectados por el incidente. Aztec Connect era la versión anterior de la plataforma, lanzada en 2022 como un puente DeFi que fue descontinuado en marzo de 2023, cuando se detuvieron los depósitos.

Mecanismo del Ataque

La vulnerabilidad explotada

La firma de seguridad BlockSec explicó en detalle el mecanismo del ataque. El atacante explotó una discrepancia entre cómo la plataforma verificaba transacciones y cómo las liquidaba en Ethereum, la red principal subyacente.

Según BlockSec, las transacciones verificadas en el contrato de Aztec Connect «no estaban efectivamente vinculadas al conjunto de transacciones impuesto por la prueba ZK». Esta inconsistencia permitió que la ruta de verificación y la lógica de liquidación en Ethereum «interpretaran la lista de transacciones de manera diferente».

Como resultado, el atacante pudo colocar transacciones donde el contrato acreditaba valor sin validarlo adecuadamente en Ethereum, creando saldos no respaldados que posteriormente podían retirarse.

Ejecución del ataque

El atacante repitió el proceso siete veces en siete activos diferentes. Según datos proporcionados por la firma de seguridad CertiK, los activos robados incluyen:

• 909 Ether (ETH)
• 270.000 Dai (DAI)
• 167 wrapped staked ETH (wstETH)
• Otras criptomonedas no especificadas

Contexto: Aztec Network y Aztec Connect

Aztec Network es un rollup de capa 2 de zero-knowledge (ZK) centrado en la privacidad, construido sobre Ethereum. Esta tecnología permite transacciones privadas y escalables mediante pruebas de conocimiento cero, un método criptográfico que verifica transacciones sin revelar información sensible.

Aztec Connect fue la versión anterior de la plataforma, lanzada en 2022 como un puente que permitía a los usuarios acceder a protocolos DeFi en Ethereum con privacidad. El equipo descontinuó el servicio en marzo de 2023 y redirigió recursos hacia el desarrollo de la siguiente generación: Aztec Network.

Una característica crítica del contrato abandonado es su inmutabilidad. Aztec Labs declaró que no posee «llaves de administrador ni control sobre el sistema; no puede ser pausado ni actualizado por nosotros». El desarrollador conocido como «Param» explicó que los contratos inteligentes de Aztec Connect se volvieron «totalmente inmutables» y ya no podían ser actualizados ni pausados.

Implicaciones y Riesgos de Contratos Abandonados

El incidente ha puesto de relieve los riesgos asociados con contratos inteligentes inactivos en el ecosistema DeFi. El desarrollador «Param» advirtió que «los contratos DeFi abandonados pueden convertirse en objetivos años después», señalando que la inmutabilidad, una característica deseable en blockchain por su seguridad y transparencia, puede convertirse en una vulnerabilidad cuando los contratos quedan sin supervisión ni mantenimiento.

Este caso resalta la importancia de desactivar o migrar adecuadamente contratos inteligentes obsoletos para evitar que se conviertan en objetivos de ataques aprovechando vulnerabilidades no corregidas.

Contexto más Amplio: Exploits en Junio de 2025

Según datos de DeFiLlama, este exploit es el último de al menos 12 ataques registrados en junio de 2025, sumando un total de $44 millones robados hasta la fecha del incidente.

Los mayores exploits del mes incluyen:

• Humanity Protocol: $30 millones perdidos el 8 de junio debido a un compromiso de clave privada.
• Syscoin Bridge: $8 millones el 7 de junio por un exploit de prueba falsa.

Estos incidentes contrastan con mayo de 2025, donde las pérdidas por exploits cayeron un 90% mes a mes, totalizando $68 millones, según datos de CertiK. La tendencia alcista en junio subraya la persistencia de las vulnerabilidades en el ecosistema DeFi, especialmente en contratos y puentes entre cadenas.

Las autoridades de seguridad y los equipos de desarrollo continúan investigando el ataque a Aztec Connect, mientras la comunidad de criptomonedas permanece alerta ante posibles nuevas vulnerabilidades en contratos inteligentes abandonados o inactivos.