レガシーMakerDAOキーパーが悪用され、ブラックサーズデーの残りから50万ドルが盗まれる

古いMakerDAOオークションキーパー契約が、50万ドル以上にのぼる不正利用の標的となった。この事件は2020年3月のブラックサーズデーにまで遡る。

CertiKの調査の詳細によると、攻撃者は「レガシーオークションキーパー」というラベルの付いた契約から200 ETHを引き出した。

ブラックサーズデーの清算危機の際、そのオークションキーパーは「ゼロビッド」を通じてMakerDAOからETHを確保した最初の存在の1つだった。50 ETHずつの4つのロットは決済されないままであり、ハッカーはその隙を悪用した。

CertiKの分析によると、「根本原因は、キーパー実装0x68399ed8aa33C5b43F863EE6782de492006A5546における関数0x8804d1deのアクセス制御の欠落だった。」

この脆弱性を悪用して、攻撃者は当初のブラックサーズデー危機から未決済の50 ETHずつの4つのロットにアクセスした。

資金はその後、Tornado Cash経由で10 ETHずつ送金された。

この契約は現在のSkyエコシステムに不可欠なものではなかったが、暗号資産リスクの根強い性質を浮き彫りにしている。何年も前の非中核の契約であっても、実際の価値を保有している限り、攻撃者にとって魅力的であり続ける可能性がある。