Una vulnerabilidad de 2020 que alguien aún recuerda en 2026: ¡robaron 200 ETH de MakerDAO!
El 12 de marzo de 2020, Ethereum se desplomó y en MakerDAO se produjo una serie de subastas de liquidación con «pujas de cero»: alguien se llevó garantías valoradas en 50 ETH por 0 DAI.
Seis años después, alguien sacó el asunto a la luz.
El 6 de octubre, el atacante entró a través de Tornado Cash y aprovechó una función sin control de acceso en un antiguo contrato keeper (0x8804d1de) para obtener plenos privilegios sobre el keeper de liquidaciones. Después, liquidó las cuatro subastas de 2020 (#1457-1460) que nunca se habían saldado y retiró 200 ETH (unos 540.000 dólares). Luego, empezó a enviar el dinero a Tornado Cash en tandas de 10 ETH. (Revelado por CertiK el 7 de octubre)
En otras palabras: una vulnerabilidad en el código de hace seis años, que alguien aún recuerda seis años después y que de verdad fue a explotar.
Pensemos en la lógica: lo más aterrador de DeFi nunca es que «te hackeen», sino que «siempre hay alguien pendiente de esas vulnerabilidades antiguas que creías olvidadas». Las cuentas pendientes de 2020 se saldaron en 2026. ¿Hasta qué año piensas conservar esos contratos antiguos a los que no les has revocado los permisos?
#MakerDAO #defi $ETH
El 12 de marzo de 2020, Ethereum se desplomó y en MakerDAO se produjo una serie de subastas de liquidación con «pujas de cero»: alguien se llevó garantías valoradas en 50 ETH por 0 DAI.
Seis años después, alguien sacó el asunto a la luz.
El 6 de octubre, el atacante entró a través de Tornado Cash y aprovechó una función sin control de acceso en un antiguo contrato keeper (0x8804d1de) para obtener plenos privilegios sobre el keeper de liquidaciones. Después, liquidó las cuatro subastas de 2020 (#1457-1460) que nunca se habían saldado y retiró 200 ETH (unos 540.000 dólares). Luego, empezó a enviar el dinero a Tornado Cash en tandas de 10 ETH. (Revelado por CertiK el 7 de octubre)
En otras palabras: una vulnerabilidad en el código de hace seis años, que alguien aún recuerda seis años después y que de verdad fue a explotar.
Pensemos en la lógica: lo más aterrador de DeFi nunca es que «te hackeen», sino que «siempre hay alguien pendiente de esas vulnerabilidades antiguas que creías olvidadas». Las cuentas pendientes de 2020 se saldaron en 2026. ¿Hasta qué año piensas conservar esos contratos antiguos a los que no les has revocado los permisos?
#MakerDAO #defi $ETH