Aztec Connect 舊合約遭駭 210 萬美元：揭露 DeFi 「停用」後的資產安全隱憂

已停止營運的合約仍是駭客目標

去中心化金融（DeFi）領域近期發生一起資安事件，已於 2023 年 3 月正式停止營運的 Aztec Connect，其舊版合約在 6 月 14 日遭到攻擊，損失約 909 枚以太幣（ETH），按當時價格計算約為 210 萬美元。受影響的合約為不可變（immutable）的 RollupProcessorV3 合約。

根據相關安全機構分析，此次攻擊源於零知識證明（ZK proof）驗證邏輯的缺陷，導致驗證後的證明無法正確綁定至交易操作。需要釐清的是，此次受駭的基礎設施與 Aztec 目前營運中的網路完全無關，屬於已廢棄的舊產品。

「不可變」合約的雙面刃

由於 Aztec Connect 的舊合約屬於「不可變」設計，這意味著一旦合約部署後，開發團隊便無法像中心化系統那樣進行升級、暫停或行政干預。Aztec Labs 並未持有任何管理員金鑰，因此無法介入此次攻擊或協助追回資金。

不可變性（Immutability）雖然能保護用戶免受任意竄改，但也意味著一旦合約存在缺陷，補救措施極為有限。只要資產仍存放在合約中，即便專案已停止營運，用戶仍可能面臨風險。

DeFi 用戶的資產管理警示

此事件為加密貨幣市場敲響警鐘，提醒用戶「停止營運」並不等同於「安全」。在 DeFi 生態中，存在大量已遭遺棄的跨鏈橋、金庫、質押合約及代幣系統，這些合約雖然前端介面可能已消失，但合約本身仍公開存在於鏈上，且隨時可被呼叫。

對於 DeFi 用戶而言，最實際的防禦手段是定期檢查並清理存放在已停用或過時產品中的資產。當專案團隊轉向新項目或前端介面下線後，這些遺留餘額極易被忽略，卻始終處於攻擊者的瞄準範圍內。此事件也促使安全團隊重新思考，應為曾持有大量存款的協議建立更完善的資產撤回提醒與退場機制。