AML-Solana/Aztec-Bridge-Exploit-Forensics

# 加密货币取证报告：190 万美元智能合约漏洞利用（Aztec Bridge 活动） **事件日期：** 2026 年 6 月 17 日 **分析师：** [Aimen Rizouk / AML-Solana] **受影响资产：** Ethereum (ETH) **总锁仓量 (TVL) 损失：** 1,158 ETH（约 1,911,614.82 美元） ## 1. 执行摘要 2026 年 6 月 17 日，一名攻击者对 **Aztec Private Rollup Bridge 合约** 执行了高度针对性的智能合约漏洞利用。通过利用 `escapeHatch()` 函数中的逻辑绑定漏洞，威胁行为者成功从源池中抽干了 **1,158.00 ETH**。 在漏洞利用之后，该行为者部署了复杂的多分支分层与混淆策略，利用剥离链、跨链桥和零知识隐私协议（Tornado Cash）来掩盖资金轨迹。本报告提供了针对被盗资产端到端的链上取证重建。 ## 2. 攻击向量与初始资金 攻击者利用干净的资金管道激活了其漏洞利用接口，避免了与个人资料的直接关联。 ``` [HitBTC / Union Chain Proxy Node] │ ▼ (0.134 ETH Ingress) [Genesis Wallet: 0x322a4c38...] │ ▼ (Exploit Call: escapeHatch) [Aztec Bridge Contract: 0x737901be...] ``` * **资金来源：** HitBTC / Union Chain Proxy Node（中心化交易所扫提） * **初始注资金额：** `0.134 ETH`（约 220.72 美元） * **创世资金 TxID：** `0x322a4c383749bdfe51882a56892af96cfb4290635fd11306eeab33c91801a6ad` * **目标钱包激活：** 2026 年 6 月 17 日 @ 06:21:11 UTC * **漏洞利用目标合约：** Aztec Private Rollup Bridge (`0x737901bea3eeb88459df9ef1BE8fF3Ae1B42A2ba`) * **漏洞：** `escapeHatch()` 逻辑绑定漏洞 * **漏洞利用执行 TxID：** `0xab306cd2184d23b6ba3e151b10b3b9a0b81f211cc16f4f3b0c79f0b17a59c2b5` ## 3. 资金分层与碎片化（阶段 4） 在漏洞利用发生后，资金立即被拆分为两个不同的操作分支，以阻碍手动的链上追踪。 ``` ┌───► [Branch A: Transit Node 0x1593...] ───► Reconverged at Nexus │ [Drained 1,158 ETH Pool] ─────┤ │ └───► [Branch B: Transit Node 0x33d6...] ───► Tornado Cash (10-ETH Pool) ``` ### 分支 A：高速中转线 * **中转节点地址：** `0x15930A0fEF3421F48c6553b5691682CC1b22EDb3` * **汇聚流出 TxID：** `0xf76ff4962c5b37f7cd1a7681a9e56194c1991f538fdc2b09829094525a071c96` * **执行：** 99.99% 的流入流动性在单笔交易中立即被扫提至第三代的 Externally Owned Account (EOA) 以保持速度。 ### 分支 B：延迟剥离策略 * **中转节点 B 地址：** `0x33d6A0D9BC210E823e043d604179cd844eb467df` * **聚合目的地：** `0x9ED8E94A2d296bf0Be71EB3424Dc67347acce4F8` * **执行：** 分支 B 利用了时间碎片化，将资金拆分为一次主扫提（`0xc0aebbad...`）和一次次级微剥离（`0xda26647d...`）。 * **分支 B 最终状态：** 追踪向量终止于 Tornado Cash 的 10-ETH 固定池（`TxID: 0x46d3c7ef...`）。该分支的追踪轨迹已**正式变冷**，在 EOA 中留下了 `0.09712 ETH` 作为静态灰尘余额。 ## 4. 主流动性枢纽与抽离轨迹 在分支 B 进行混币的同时，分支 A 的剩余部分和主要被盗资金重新汇聚在一个庞大的主清算金库中。 * **主枢纽金库地址：** `0x69923e5264b6E1634Ee673F34fc6350Cb7A05f72` * **当前死账本余额：** **1,019.08 ETH**（约 166 万美元原地保留） 攻击者已开始通过两条专门的流出轨迹系统性地抽离金库资产： ``` ┌────────────────────────────────────────────────────────────────────────┐ │ MASTER NEXUS VAULT (0x69923e52...) │ └───────────────────┬────────────────────────────────┬───────────────────┘ │ │ ▼ (Siphon Track Alpha) ▼ (Siphon Track Beta) [Shell Account: 0x7E7F...] [Shell Account: 0xd5be...] │ │ ▼ ▼ [Relay Cross-Chain Bridge] [Tornado Cash Router Mixer] │ │ ▼ ▼ MIGRATED AWAY FROM L1 TRAIL COLD ``` ### 抽离轨迹 Alpha（跨链迁移） * **中间壳账户：** `0x7E7F606d...864dA70D8`（现已清空） * **金额：** 约 62,135.32 美元（`TxID: 0xac4a5dd1...`） * **出口接口：** Relay Protocol（托管合约） * **最终主网处置 TxID：** `0xf525a0d53b868bd4899f1466e6c7740905351e4a8c8c4664fa4fba02b7cc581c` * **状态：** 资金已通过外向通道桥接迁出 Ethereum Layer 1。 ### 抽离轨迹 Beta（隐私协议破裂） * **中间壳账户：** `0xd5be113ED07f580e8545A3872AF359215be057d5` * **金额：** 45.05 ETH * **洗钱策略：** 多池固定存款破裂 * **资金池明细：** 3 笔 10-ETH 资金池存款，5 笔 1-ETH 资金池存款 * **状态：** 轨迹变冷。密码学链接在 Tornado Cash Router 处断开。 ## 🛡️ 5. 攻陷技术指标 | 类型 | 合约/钱包地址 / TxID | 事件中的角色 | | --- | --- | --- | | **漏洞利用目标** | `0x737901bea3eeb88459df9ef1BE8fF3Ae1B42A2ba` | Aztec Bridge 合约（被攻击） | | **主金库** | `0x69923e5264b6E1634Ee673F34fc6350Cb7A05f72` | 持有约 166 万美元的聚合枢纽 | | **漏洞利用 TxID** | `0xab306cd2184d23b6ba3e151b10b3b9a0b81f211cc16f4f3b0c79f0b17a59c2b5` | 耗尽合约资金的交易状态 | | **中转节点 A** | `0x15930A0fEF3421F48c6553b5691682CC1b22EDb3` | 高速中转暂存 EOA | | **中转节点 B** | `0x33d6A0D9BC210E823e043d604179cd844eb467df` | 为 Tornado Cash 提供资金的分层账户 | ## 🏁 6. 事件状态矩阵 | 维度 | 情报特征指标 | | --- | --- | | **事件状态** | **主动追踪中**（枢纽节点持有 1,019.08 ETH） | | **使用的主要平台** | Aztec Rollup Bridge, Tornado.Cash, Relay Protocol | | **已捕获的洗钱向量** | 延迟剥离、固定资金池隐私存款、Layer 1 跨链桥接 | | **所需的缓解措施** | 在中心化监控工具（Chainalysis, Arkham, Tornado 黑名单）中全网拉黑主金库 `0x69923e52...`。 | *免责声明：本文件包含用于区块链安全追踪和教育作品集文档记录的链上取证遥测数据。*

标签：加密货币追踪, 区块链安全, 反洗钱, 库, 应急响应, 数字取证, 智能合约审计, 自动化脚本