Lỗ hổng từ năm 2020, đến năm 2026 vẫn có người nhớ — 200 ETH đã bị lấy cắp từ MakerDAO!

Ngày 12 tháng 3 năm 2020, Ethereum lao dốc, MakerDAO xuất hiện một loạt phiên đấu giá thanh lý “giá thầu bằng 0” — có người dùng 0 DAI để mua tài sản thế chấp trị giá 50 ETH.

Sáu năm sau, có người đào lại vụ này.

Ngày 6 tháng 10, kẻ tấn công vào cuộc thông qua Tornado Cash, khai thác một hàm thiếu kiểm soát truy cập trong hợp đồng keeper cũ (0x8804d1de), chiếm toàn quyền của keeper thanh lý, rồi thanh toán toàn bộ bốn phiên đấu giá từ năm 2020 chưa từng được quyết toán (#1457-1460) và rút 200 ETH (khoảng 540.000 USD). Sau đó, tiền được chuyển vào Tornado Cash theo từng đợt 10 ETH. (CertiK công bố ngày 7 tháng 10)

Nói dễ hiểu: lỗ hổng trong mã từ sáu năm trước, sáu năm sau vẫn có người nhớ, và họ thật sự ra tay lấy tiền.

Cùng nhìn lại logic: Điều đáng sợ nhất trong DeFi chưa bao giờ chỉ là “bị hack”, mà là “những lỗ hổng cũ bạn tưởng chẳng ai còn nhớ, vẫn luôn có người để mắt tới”. Khoản nợ xấu từ năm 2020 được thanh toán vào năm 2026. Những hợp đồng cũ mà bạn vẫn chưa thu hồi quyền cấp phép, bạn định để đến năm nào?

#MakerDAO #defi $ETH