Uma vulnerabilidade de 2020 que alguém ainda lembrava em 2026 — roubaram 200 ETH da MakerDAO!
Em 12 de março de 2020, o Ethereum despencou e a MakerDAO teve uma série de leilões de liquidação com "lances zero" — alguém arrematou por 0 DAI um colateral no valor de 50 ETH.
Seis anos depois, alguém trouxe o caso à tona.
Em 6 de outubro, o atacante entrou por meio do Tornado Cash e explorou uma função sem controle de acesso (0x8804d1de) em um antigo contrato keeper. Com isso, obteve controle total sobre o keeper de liquidação, encerrou os quatro leilões de 2020 que nunca haviam sido liquidados (#1457-1460) e retirou 200 ETH (cerca de US$ 540 mil). Em seguida, começou a enviar o dinheiro ao Tornado Cash em lotes de 10 ETH. (Divulgado pela CertiK em 7 de outubro.)
Em outras palavras: uma vulnerabilidade no código de seis anos atrás que alguém ainda lembrava — e foi lá tirar proveito dela.
Vamos analisar a lógica: o mais assustador em DeFi nunca é "ser hackeado", mas sim "sempre há alguém de olho naquela vulnerabilidade antiga que você achava que ninguém lembrava". Pendências de 2020, liquidadas em 2026. Aqueles contratos antigos aos quais você ainda não revogou as permissões: até que ano pretende deixá-los assim?
#MakerDAO #defi $ETH
Em 12 de março de 2020, o Ethereum despencou e a MakerDAO teve uma série de leilões de liquidação com "lances zero" — alguém arrematou por 0 DAI um colateral no valor de 50 ETH.
Seis anos depois, alguém trouxe o caso à tona.
Em 6 de outubro, o atacante entrou por meio do Tornado Cash e explorou uma função sem controle de acesso (0x8804d1de) em um antigo contrato keeper. Com isso, obteve controle total sobre o keeper de liquidação, encerrou os quatro leilões de 2020 que nunca haviam sido liquidados (#1457-1460) e retirou 200 ETH (cerca de US$ 540 mil). Em seguida, começou a enviar o dinheiro ao Tornado Cash em lotes de 10 ETH. (Divulgado pela CertiK em 7 de outubro.)
Em outras palavras: uma vulnerabilidade no código de seis anos atrás que alguém ainda lembrava — e foi lá tirar proveito dela.
Vamos analisar a lógica: o mais assustador em DeFi nunca é "ser hackeado", mas sim "sempre há alguém de olho naquela vulnerabilidade antiga que você achava que ninguém lembrava". Pendências de 2020, liquidadas em 2026. Aqueles contratos antigos aos quais você ainda não revogou as permissões: até que ano pretende deixá-los assim?
#MakerDAO #defi $ETH