Хакер украл более полумиллиона долларов у MakerDAO через уязвимость в контракте 2020 года
- Злоумышленник вывел 200 $ETH из legacy-контракта MakerDAO на Ethereum.
- Уязвимость позволила ему получить полный контроль над учетной записью контракта в MakerDAO Vat.
- Украденные средства начали поступать в Tornado Cash уже через шесть минут после атаки.
6 октября 2026 года неизвестный злоумышленник воспользовался уязвимостью в устаревшем контракте MakerDAO на Ethereum и похитил 200 $ETH на сумму около $543 000.
#CertiKInsight 🚨 On 6 Oct, a MakerDAO liquidation keeper bot was exploited resulting in a loss of 200 $ETH (~$542k). Read our full analysis here👇 https://t.co/Tak24xRZYs Find all our stats on our CertiK Security Report Dashboard 👇 https://t.co/0s5Uv84lqY
— CertiK Alert (@CertiKAlert) October 7, 2026
Будьте в курсе
движения ваших монет
Алерты, котировки в реальном времени и новости рынка — в одном приложении
4,8 на основе 40 К оценок в App Store и Google Play
Атаку осуществили через legacy auction keeper, который хранил залог из ликвидаций MakerDAO в марте 2020 года, известных как «черный четверг». Эксплойт стал возможен из-за отсутствия контроля доступа к одной из функций контракта.
Как произошла атака
По данным анализа инцидента, хакер сначала профинансировал адрес 0,1 $ETH через Tornado Cash, а в 06:12 UTC развернул специальный контракт для атаки. Через минуту он совершил транзакцию, которая позволила получить доступ к активам старого keeper-контракта.
Ключевой проблемой стала функция 0x8804d1de в реализации контракта. В отличие от других привилегированных функций, она не проверяла права доступа и позволяла передать произвольному адресу делегацию через MakerDAO Vat.
Схема эксплойта состояла из нескольких этапов:
- хакер создал адаптерный модуль и передал его адрес в уязвимую функцию keeper;
- контракт предоставил этому модулю полный контроль над учетной записью keeper в Vat через Vat.hope();
- после этого keeper вызвал функцию join() модуля, передав выполнение кода злоумышленнику;
- злоумышленник завершил четыре старых аукциона — №1457, 1458, 1459 и 1460;
- каждый из них содержал лот на 50 $ETH, который keeper выиграл по нулевой ставке еще в марте 2020 года, но так и не рассчитался за него;
- после завершения аукционов 200 $ETH зачислили на счет keeper в Vat, откуда злоумышленник вывел их через полученную делегацию.
Таким образом, именно незавершенные позиции из ликвидаций 2020 года сделали старую уязвимость экономически выгодной.
Средства начали миксовать через шесть минут
Все 200 $ETH поступили злоумышленнику в рамках одной эксплойт-транзакции через минуту после атаки. Уже через шесть минут он осуществил первый перевод в Tornado Cash.
В целом злоумышленник начал распределять украденные средства на депозиты по 10 $ETH. Анализ транзакций показывает, что для этого использовался Tornado Cash router.
Главной причиной инцидента стало именно отсутствие проверки прав доступа к функции 0x8804d1de. Кроме того, после предоставления делегации контракт не вызывал nope, поэтому переданные полномочия остались активными после завершения операции.
Напомним, что в 2023 году неизвестный арбитражный бот использовал контракт MakerDAO DssFlash, чтобы получить флеш-кредит на $200 млн в DAI, но после комиссий заработал лишь $3,24. В 2024 году протокол Curio, связанный с экосистемой MakerDAO, подвергся другой атаке из-за уязвимости смарт-контракта: злоумышленник выпустил 1 млрд CGT, а ущерб впоследствии оценили в $16 млн.
