ثغرة من عام 2020، وما زال أحد يتذكرها في 2026 — سُرقت 200 ETH من MakerDAO!
في 12 مارس 2020، انهار سعر الإيثيريوم، وظهرت في MakerDAO سلسلة من مزادات التصفية «من دون عروض» — إذ تمكّن أحدهم من الفوز بضمانات قيمتها 50 ETH مقابل 0 DAI.
وبعد ست سنوات، أعاد أحدهم فتح هذه القضية.
في 6 أكتوبر، دخل المهاجم عبر Tornado Cash، واستغل دالة في عقد keeper قديم تفتقر إلى ضوابط الوصول (0x8804d1de)، فحصل على صلاحيات كاملة للتحكم في keeper التصفية. ثم سوّى المزادات الأربع التي لم تُسوَّ قط منذ عام 2020 (#1457-1460)، وسحب 200 ETH (نحو 540 ألف دولار). بعد ذلك، بدأ بتحويل الأموال إلى Tornado Cash على دفعات، كل منها 10 ETH. (كشفت CertiK عن الحادثة في 7 أكتوبر)
ببساطة: ثغرة في الشيفرة عمرها ست سنوات، وما زال هناك من يتذكرها بعد كل هذه المدة، بل ويذهب لاستغلالها فعلاً.
لنتأمل المنطق هنا: أكثر ما يرعب في التمويل اللامركزي ليس «التعرض للاختراق»، بل أن «هناك دائماً من يراقب الثغرات القديمة التي تظن أن لا أحد يتذكرها». حسابات 2020 العالقة سُوّيت في 2026. أما العقود القديمة التي لم تُلغِ صلاحياتها، فإلى أي سنة تنوي تركها؟
#MakerDAO #defi $ETH
في 12 مارس 2020، انهار سعر الإيثيريوم، وظهرت في MakerDAO سلسلة من مزادات التصفية «من دون عروض» — إذ تمكّن أحدهم من الفوز بضمانات قيمتها 50 ETH مقابل 0 DAI.
وبعد ست سنوات، أعاد أحدهم فتح هذه القضية.
في 6 أكتوبر، دخل المهاجم عبر Tornado Cash، واستغل دالة في عقد keeper قديم تفتقر إلى ضوابط الوصول (0x8804d1de)، فحصل على صلاحيات كاملة للتحكم في keeper التصفية. ثم سوّى المزادات الأربع التي لم تُسوَّ قط منذ عام 2020 (#1457-1460)، وسحب 200 ETH (نحو 540 ألف دولار). بعد ذلك، بدأ بتحويل الأموال إلى Tornado Cash على دفعات، كل منها 10 ETH. (كشفت CertiK عن الحادثة في 7 أكتوبر)
ببساطة: ثغرة في الشيفرة عمرها ست سنوات، وما زال هناك من يتذكرها بعد كل هذه المدة، بل ويذهب لاستغلالها فعلاً.
لنتأمل المنطق هنا: أكثر ما يرعب في التمويل اللامركزي ليس «التعرض للاختراق»، بل أن «هناك دائماً من يراقب الثغرات القديمة التي تظن أن لا أحد يتذكرها». حسابات 2020 العالقة سُوّيت في 2026. أما العقود القديمة التي لم تُلغِ صلاحياتها، فإلى أي سنة تنوي تركها؟
#MakerDAO #defi $ETH