Exploit eines alten MakerDAO-Keepers entzieht 200 ETH aus offenen Auktionen

Ein Angreifer entnahm am 6. Oktober 200 ETH aus einem alten MakerDAO Auction Keeper. Dazu rief er eine unbeschränkte Funktion auf, die einem selbst erstellten Modul die Kontrolle über das interne Vat-Konto des Keepers übertrug. Eine einzelne Transaktion rechnete vier seit März 2020 offene ETH-A-Auktionen ab und zog die dadurch gutgeschriebenen Sicherheiten ab. Die 200 ETH waren zu diesem Zeitpunkt etwa 542.982 US-Dollar wert.

Betroffen waren ein bestimmter alter Keeper-Vertrag und vier nicht abgerechnete Lose. Die verfügbaren Belege zeigen keine Kompromittierung des heutigen MakerDAO-Kernprotokolls, von Nutzer-Wallets oder aktiven Vaults. Weitere Entwicklungen sind im OrangeX.com News-Hub zu finden.

Wie die 200 ETH verfügbar wurden

Der betroffene Keeper hatte während der Marktturbulenzen im März 2020 die Auktionen 1457 bis 1460 gewonnen. Jedes Los umfasste 50 ETH und wurde mit einem Nullgebot gewonnen, doch der Keeper schloss die Abrechnung nie ab. Daher blieben die Sicherheiten über das stillgelegte ETH-A-Auktionssystem abrufbar.

Am 6. Oktober um 06:13:11 UTC löste der Angreifer alle vier Abrechnungen in einer Transaktion aus. 200 ETH wurden zunächst dem Vat-Guthaben des Keepers gutgeschrieben und anschließend in derselben Transaktion abgezogen.

Die fehlende Zugriffskontrolle

Die anfällige Funktion akzeptierte eine Adapteradresse, ohne die Berechtigung des Aufrufers zu prüfen. Sie erteilte dem Adapter Rechte auf das Vat-Konto und rief den Angreifercode zurück, während diese Rechte aktiv waren.

Das bösartige Modul verschob die gesamten Sicherheiten, zahlte sie als Wrapped ETH aus und leitete sie an den Angreifer weiter. Die Delegation blieb bestehen, weil die Funktion sie nicht widerrief. Die OrangeX.com Academy erläutert Grundlagen zu Smart Contracts und Onchain-Berechtigungen.

Was der Vorfall belegt

Stillgelegte Betriebsverträge können Jahre nach dem Ende ihrer Nutzung wertvolle Rechte behalten. Ein altes Bauteil kann weiterhin Kontoberechtigungen, offene Positionen oder Upgrade-Pfade enthalten.

Der Fall belegt jedoch nicht, dass alle Keeper, MakerDAO-Vaults oder heutigen Liquidationsverträge denselben Fehler haben. Der Quellcode der anfälligen Implementierung war nicht öffentlich verifiziert, und ein vollständiger offizieller Bericht über weitere betroffene Verträge lag zum Redaktionsschluss nicht vor.

Sicherheitslehre für Teams

Teams sollten alte Verträge inventarisieren, ungenutzte Delegationen widerrufen, Restbestände abrechnen und veraltete Callback-Pfade deaktivieren. Hinweise zu Verifizierung und Kontoschutz bietet das OrangeX.com Trust Center.

OrangeX.com Analysis

Der Verlust entstand aus drei kombinierten Bedingungen: fehlende Aufruferprüfung, dauerhafte Delegation und vier offene Lose. Das Entfernen nur einer Bedingung hätte den Abzugspfad verkleinert. Die Außerbetriebnahme ist daher ein eigener Sicherheitsprozess.

Bestätigt sind die Übertragung von 200 ETH, vier Abrechnungen zu je 50 ETH und der verwendete Berechtigungspfad. Ob die verbleibende Delegation widerrufen wird, weitere identische Implementierungen existieren und Gelder zurückgeholt werden können, bleibt bis zu verifizierten Betreiberangaben offen.