Легаси-контракт аукционного кипера MakerDAO был взломан на сумму более 500 000 долларов; уязвимость восходит к кризису «Чёрного четверга» в марте 2020 года. По данным анализа CertiK, злоумышленник вывел 200 ETH из контракта, воспользовавшись отсутствием контроля доступа к определённой функции в реализации кипера.
Атака была нацелена на четыре лота по 50 ETH, которые так и не были урегулированы после первоначального кризиса ликвидации, когда контракт получил ETH при нулевых ставках. Украденные средства затем были отправлены партиями по 10 ETH через Tornado Cash, что подчёркивает, что старые контракты, хранящие ценности, остаются уязвимыми, хотя уже не являются частью текущей экосистемы Sky.
Ключевые факты
- Атака была направлена на легаси-контракт аукционного кипера MakerDAO, связанный с событиями «Чёрного четверга» в марте 2020 года.
- Злоумышленник изъял 200 ETH, воспользовавшись отсутствием контроля доступа к функции с идентификатором 0x8804d1de.
- Уязвимость позволила получить доступ к четырём неразрешённым лотам по 50 ETH, оставшимся после первоначального кризиса ликвидации.
- Украденные средства были перемешаны через Tornado Cash порциями по 10 ETH.
- Скомпрометированный контракт не входит в состав основной текущей экосистемы Sky.
Почему это важно
Этот инцидент напоминает о том, что риски в сфере криптовалют могут проявляться спустя долгое время: даже контракты, которые уже полтора десятилетия не играют ключевой роли, могут оставаться привлекательными целями для злоумышленников, если они содержат реальные активы.