Кража средств MakerDAO: хакер вывел 200 ETH через уязвимость 2020 года
6 октября 2026 года произошла кража средств MakerDAO — неизвестный злоумышленник похитил 200 ETH (около 543 000 долларов) из устаревшего смарт-контракта на Ethereum. Инцидент затронул функциональность keeper-бота, запущенного ещё в марте 2020 года.
Что произошло
Атака была направлена на legacy auction keeper — смарт-контракт, который участвовал в ликвидациях MakerDAO во время событий «чёрного четверга» 2020 года. Злоумышленник эксплуатировал отсутствие проверки прав доступа у функции 0x8804d1de. Это позволило получить контроль над учётной записью контракта в системе MakerDAO Vat и вывести размещённые там средства.
Все 200 ETH были переведены на адрес атакующего в рамках одной транзакции. Уже через шесть минут после завершения атаки начались переводы в миксер Tornado Cash — средства распределялись депозитами по 10 ETH.
Как была проведена атака
Экспертная группа CertiK опубликовала анализ инцидента. Согласно отчёту, злоумышленник сначала получил начальное финансирование в размере 0,1 ETH через Tornado Cash. Затем, в 06:12 UTC, он развернул специальный атакующий контракт. Минутой позже была выполнена транзакция, использовавшая уязвимую функцию 0x8804d1de в реализации старого контракта.
В отличие от других привилегированных функций, 0x8804d1de не проверяла права доступа. Поэтому вызов с произвольного адреса позволял передать делегацию через Vat.hope(). Атакующий создал адаптерный модуль, передал его адрес в функцию, и keeper-контракт предоставил этому модулю полный контроль над своей учётной записью в Vat. Далее модуль вызвал функцию join(), передав выполнение кода злоумышленнику. Тот завершил четыре незавершённых аукциона — №1457, 1458, 1459 и 1460. Каждый из них содержал лот на 50 ETH, который keeper выиграл по нулевой ставке ещё в марте 2020 года, но так и не провёл расчёт. После завершения аукционов 200 ETH были зачислены на счёт keeper в Vat, откуда злоумышленник вывел их через полученную ранее делегацию.
Контекст и последствия кражи средств MakerDAO
Эксплойт стал возможен именно из-за незавершённых позиций, оставшихся после массовых ликвидаций «чёрного четверга» 2020 года. Legacy auction keeper хранил залоговые активы, невостребованные в течение нескольких лет. Кроме того, после предоставления делегации контракт не вызывал функцию nope, сохраняя полномочия активными.
Это не первый инцидент с участием MakerDAO. В 2023 году арбитражный бот использовал контракт DssFlash для получения флеш-кредита на 200 млн DAI, хотя чистая прибыль составила лишь 3,24 доллара. В 2024 году связанный с экосистемой MakerDAO протокол Curio подвергся атаке из-за уязвимости смарт-контракта: тогда было несанкционированно выпущено 1 млрд токенов CGT, а ущерб оценили в 16 млн долларов.
После атаки все украденные 200 ETH начали поступать в Tornado Cash. Первый перевод был зафиксирован через шесть минут после эксплойт-транзакции. Злоумышленник использовал маршрутизатор миксера для серии депозитов по 10 ETH, что типично для попыток скрыть следы средств.