全球最大区块链安全机构之一的慢雾科技(SlowMist)于北京时间15日正式发布重磅技术分析报告。报告指出，隐私网络Aztec旗下一个已弃用的Aztec Connect Rollup Processor智能合约日前不幸遭到黑入。黑客透过精密的操作，成功绕过了系统的结算边界，导致第一层(L1)与第二层(L2)之间产生了严重的状态不一致(state discrepancy)，并借此从协议中窃取了价值约219万美元的大额加密资产。
慢雾安全团队的最新报告完整重建了这场原子化攻击的执行过程。漏洞的根本原因，在于攻击者恶意滥用了系统中$numRealTxs$与$decoded_slots$两项关键参数之间的不匹配。透过此漏洞，黑客能够一边透过ZK(零知识证明)提交伪造的存款证明，一边在L1的结算验证过程中让这些存款巧妙地「隐形」，进而成功制造出「双路径状态分歧模型(Dual-path state divergence model)」，顺利将协议资金提现抽干。
这份技术报告为全球Rollup开发团队敲响了资安警钟。慢雾强调，该案例突显了一个至关重要的Rollup系统安全原则：结算边界(settlement boundaries)必须始终与ZK公开输入(public inputs)的承诺范围(commitment scope)保持绝对且严格的对齐。否则，即使有再强大的数学证明也无济于事。
这场严重的资安事故也引发了区块链安全圈的热烈讨论。部分业内专家随后在社群上吐槽，直言「ZK证明根本救不了烂架构」。专家透露，知名加密防护平台CoinStats早前就已经明确标记并警告过此处结算边界存在安全隐患，可惜并未引起重视。目前该笔链上资金的最新流向正由慢雾防洗钱系统持续追踪中。