Eine Schwachstelle aus dem Jahr 2020 – und 2026 erinnert sich noch jemand daran: 200 ETH wurden von MakerDAO gestohlen!
Am 12. März 2020 stürzte Ethereum ab. Bei MakerDAO kam es zu mehreren Liquidationsauktionen mit „Nullgeboten“ – jemand ersteigerte Sicherheiten im Wert von 50 ETH für 0 DAI.
Sechs Jahre später holte jemand die Sache wieder hervor.
Am 6. Oktober verschaffte sich der Angreifer über Tornado Cash Zugang und nutzte eine Funktion im alten Keeper-Vertrag ohne Zugriffskontrolle (0x8804d1de), um die vollständigen Berechtigungen des Liquidation Keepers zu erlangen. Dann wickelte er alle vier Auktionen aus dem Jahr 2020 (#1457–1460) ab, die nie abgeschlossen worden waren, und zog 200 ETH (etwa 540.000 US-Dollar) ab. Anschließend begann das Geld, in Tranchen von jeweils 10 ETH bei Tornado Cash einzuzahlen. (Von CertiK am 7. Oktober veröffentlicht.)
Übersetzt: Jemand erinnert sich sechs Jahre später noch an eine Code-Schwachstelle von vor sechs Jahren – und hat tatsächlich zugegriffen.
Schauen wir uns die Logik dahinter an: Das Furchterregendste an DeFi ist nicht, „gehackt zu werden“, sondern dass „irgendjemand immer auf alte Schwachstellen lauert, von denen du dachtest, niemand würde sich mehr an sie erinnern“. Die Altlasten von 2020 wurden 2026 beglichen. Bis zu welchem Jahr willst du die alten Verträge mit nicht widerrufenen Berechtigungen noch behalten?
#MakerDAO #defi $ETH
Am 12. März 2020 stürzte Ethereum ab. Bei MakerDAO kam es zu mehreren Liquidationsauktionen mit „Nullgeboten“ – jemand ersteigerte Sicherheiten im Wert von 50 ETH für 0 DAI.
Sechs Jahre später holte jemand die Sache wieder hervor.
Am 6. Oktober verschaffte sich der Angreifer über Tornado Cash Zugang und nutzte eine Funktion im alten Keeper-Vertrag ohne Zugriffskontrolle (0x8804d1de), um die vollständigen Berechtigungen des Liquidation Keepers zu erlangen. Dann wickelte er alle vier Auktionen aus dem Jahr 2020 (#1457–1460) ab, die nie abgeschlossen worden waren, und zog 200 ETH (etwa 540.000 US-Dollar) ab. Anschließend begann das Geld, in Tranchen von jeweils 10 ETH bei Tornado Cash einzuzahlen. (Von CertiK am 7. Oktober veröffentlicht.)
Übersetzt: Jemand erinnert sich sechs Jahre später noch an eine Code-Schwachstelle von vor sechs Jahren – und hat tatsächlich zugegriffen.
Schauen wir uns die Logik dahinter an: Das Furchterregendste an DeFi ist nicht, „gehackt zu werden“, sondern dass „irgendjemand immer auf alte Schwachstellen lauert, von denen du dachtest, niemand würde sich mehr an sie erinnern“. Die Altlasten von 2020 wurden 2026 beglichen. Bis zu welchem Jahr willst du die alten Verträge mit nicht widerrufenen Berechtigungen noch behalten?
#MakerDAO #defi $ETH