Уязвимость 2020 года, о которой помнят даже в 2026-м: у MakerDAO украли 200 ETH!
12 марта 2020 года Ethereum резко обвалился, и в MakerDAO прошла серия ликвидационных аукционов с «нулевыми ставками» — кто-то получил залог стоимостью 50 ETH, заплатив 0 DAI.
Шесть лет спустя кто-то вспомнил об этом.
6 октября злоумышленник вошёл в систему через Tornado Cash и воспользовался функцией старого контракта keeper без контроля доступа (0x8804d1de). Так он получил полный контроль над keeper ликвидаций и завершил все четыре аукциона 2020 года (#1457-1460), которые так и не были закрыты, а затем вывел 200 ETH (около 540 тысяч долларов). После этого средства начали поступать в Tornado Cash партиями по 10 ETH. (CertiK сообщила об этом 7 октября.)
Если проще: уязвимость в коде шестилетней давности — и спустя шесть лет кто-то её помнит и действительно воспользовался ею.
Вот в чём суть: самое страшное в DeFi — не то, что «систему взломали», а то, что «за старой уязвимостью, о которой, как ты думал, все забыли, кто-то всё ещё следит». Долги 2020 года погашены в 2026-м. А старые разрешения, которые ты так и не отозвал, до какого года собираешься хранить?
#MakerDAO #defi $ETH
12 марта 2020 года Ethereum резко обвалился, и в MakerDAO прошла серия ликвидационных аукционов с «нулевыми ставками» — кто-то получил залог стоимостью 50 ETH, заплатив 0 DAI.
Шесть лет спустя кто-то вспомнил об этом.
6 октября злоумышленник вошёл в систему через Tornado Cash и воспользовался функцией старого контракта keeper без контроля доступа (0x8804d1de). Так он получил полный контроль над keeper ликвидаций и завершил все четыре аукциона 2020 года (#1457-1460), которые так и не были закрыты, а затем вывел 200 ETH (около 540 тысяч долларов). После этого средства начали поступать в Tornado Cash партиями по 10 ETH. (CertiK сообщила об этом 7 октября.)
Если проще: уязвимость в коде шестилетней давности — и спустя шесть лет кто-то её помнит и действительно воспользовался ею.
Вот в чём суть: самое страшное в DeFi — не то, что «систему взломали», а то, что «за старой уязвимостью, о которой, как ты думал, все забыли, кто-то всё ещё следит». Долги 2020 года погашены в 2026-м. А старые разрешения, которые ты так и не отозвал, до какого года собираешься хранить?
#MakerDAO #defi $ETH