Хакер Aztec Connect проснулся через 127 дней и за 41 минуту отправил 1 255,8 ETH в Tornado Cash

Хакер Aztec Connect четыре месяца не трогал украденное, а 19 октября за 41 минуту обменял остатки на эфир и загнал 1 255,8 ETH в Tornado Cash — около $3 млн по оценке Salus. Этот кошелёк остался последним из трёх атак июня на заброшенные контракты Aztec, и теперь в миксере оказались деньги из всех трёх.

Что произошло

Aztec Connect — приватный zk-роллап на Ethereum, запущенный в 2022 году и закрытый в 2023-м. Контракты неизменяемые, и деньги части пользователей так в них и остались. По отчёту Aztec Labs, 14 июня 2026 года в 12:26 UTC атакующий одной транзакцией прогнал 14 специально собранных роллапов и вывел активы примерно на $2,19 млн. На следующий день второй кошелёк тем же способом снял остаточные позиции в DeFi-мостах ещё примерно на $88 тыс.

Суть дыры — рассинхрон двух частей системы. Доказательство корректности проверяет строки пачки группами по 32, даже если реальных строк меньше. А контракт расчётов доверяет одному числу numRealTxs и обрабатывает только столько строк. В результате строку-депозит можно протащить так, что доказательство её примет и начислит баланс, а контракт так и не заберёт за неё реальные деньги. Атакующий «напечатал» себе внутренний баланс и потом вывел его в ETH и токенах. Сама система доказательств и trusted setup, по словам Aztec Labs, не пострадали, а живая сеть Aztec Network к старому роллапу отношения не имеет.

Хакер Aztec Connect и три кошелька

Расследование PublicAML уточнило картину, которая летом гуляла по новостям. Атак было три:

• 14 июня — главный кошелёк 0x0F18…7EdD17: 908,99 ETH, 270 513 DAI, 167,89 wstETH, немного LUSD и токенов Yearn; за три часа до атаки он получил 0,1 ETH из Tornado Cash;
• 15 июня — второй кошелёк: позиции Aave и Compound примерно на $88 тыс., превращённые в 46,5 ETH;
• 17 июня — третий кошелёк вывел 1 158 ETH через «аварийный выход» более старого роллапа Aztec.

Летом СМИ со ссылкой на PeckShield писали, что «хакер Aztec» понемногу отмывает 909 ETH из первой атаки. PublicAML показывает, что те депозиты в Tornado — 145 ETH в июле и 300 ETH в августе — шли из третьего кошелька, а главный не отправил ни одной транзакции с июня. Третий кошелёк закончил отмывание ещё 26 августа.

Самый тихий кошелёк в этой истории оказался самым крупным: деньги просто ждали 127 дней, пока о них забудут.

19 октября, между 15:04 и 15:45 UTC, главный кошелёк ожил. Он погасил токены Yearn, продал LUSD и wstETH через KyberSwap, DAI — через ParaSwap и собрал 1 255,85 ETH. Затем 30 депозитами отправил 1 255,8 ETH в миксер через роутер Tornado. На адресе осталось около 0,036 ETH. По данным PANews со ссылкой на Salus, балансы всех шести украденных ERC-20 токенов теперь нулевые.

Что это значит для тебя

Деньги уже в Tornado Cash, и ончейн-след здесь обрывается: миксер разрывает связь между депозитом и выводом. Остановить средства теперь могут только на выходе — если биржа или сервис отследят вывод из миксера и заблокируют его. Ни эмитента, способного заморозить ETH, ни админа контракта нет.

Главный урок не про хакера, а про тебя. Старые протоколы, которые «закрыли», не исчезают: их контракты живут вечно, а деньги, которые ты там забыл, становятся мишенью, как только кто-то найдёт ошибку. Разработчики Aztec год предупреждали пользователей о выходе, прежде чем отказаться от контроля. Похожий сюжет с быстрым выводом средств мы разбирали в материале про взлом моста Cysic, а схемы отмывания через цепочки кошельков — в истории про китайскую сеть отмывания Lazarus.

Что делать

1. Пройдись по своим старым кошелькам: нет ли средств в протоколах, которые объявили о закрытии или прекратили поддержку.
2. Если есть — выводи, пока интерфейс или прямой вызов контракта ещё работает. После отказа команды от прав помочь будет некому.
3. Отзывай старые разрешения на трату токенов у протоколов, которыми не пользуешься, — это снижает риск, если в контракте найдут дыру.
4. Не верь новостям, которые повторяют одну цифру без ончейн-проверки: как показала эта история, атрибуция кошельков бывает ошибочной.

FAQ

Сколько украл хакер Aztec Connect? По отчёту Aztec Labs, главная атака 14 июня вынесла около $2,19 млн, вторая — около $88 тыс. Ещё 1 158 ETH, по PublicAML, вывел третий кошелёк из более старого контракта.

Сколько ушло в Tornado Cash 19 октября? 1 255,8 ETH — около $3,01 млн по оценке Salus в пересказе PANews.

Пострадала ли текущая сеть Aztec? Нет. По словам Aztec Labs, инцидент касается только закрытого Aztec Connect, а нынешняя Aztec Network отдельная.

Можно ли вернуть деньги? Шансы малы: контракты без админа, а средства в миксере. Остаётся надежда на блокировку при выводе через биржи.

Итог: хакер Aztec Connect выждал больше четырёх месяцев и за 41 минуту довёл отмывание до конца. Теперь все три июньские атаки на старые контракты Aztec закончились в Tornado Cash, а тебе стоит проверить, не лежат ли твои деньги в таких же «заброшенных» протоколах.

Материал не является инвестиционной рекомендацией. Крипта — высокий риск, решения принимаешь сам.