Un exploit en un keeper antiguo de MakerDAO extrae 200 ETH de subastas sin liquidar

Un atacante extrajo 200 ETH de un auction keeper antiguo de MakerDAO el 6 de octubre al invocar una función sin restricciones que delegó el control de la cuenta Vat interna del keeper a código creado por el atacante. Una sola transacción liquidó cuatro subastas ETH-A inactivas desde marzo de 2020 y retiró la garantía resultante. Los 200 ETH valían aproximadamente 542.982 dólares en ese momento.

El incidente afectó a un contrato keeper específico y a cuatro lotes sin liquidar. La evidencia disponible no muestra que el protocolo central actual de MakerDAO, las carteras de usuarios o los Vault activos hayan sido comprometidos. Las novedades pueden seguirse en el centro de noticias de OrangeX.com.

Cómo quedaron disponibles los 200 ETH

El keeper afectado había ganado las subastas 1457 a 1460 durante la tensión del mercado de marzo de 2020. Cada lote contenía 50 ETH y se adjudicó con una oferta de cero, pero el keeper nunca completó la liquidación. Por ello, la garantía siguió siendo reclamable a través del sistema retirado de subastas ETH-A.

El 6 de octubre a las 06:13:11 UTC, el atacante activó las cuatro liquidaciones en una sola transacción. Los 200 ETH se acreditaron al saldo Vat del keeper y luego se transfirieron fuera en la misma operación.

La comprobación de acceso ausente

La función vulnerable aceptaba una dirección de adaptador sin verificar que la persona que llamaba estuviera autorizada. Después concedía al adaptador permisos sobre la cuenta Vat y devolvía el control al código del atacante mientras la autorización seguía activa.

El módulo malicioso movió toda la garantía, la retiró como ETH envuelto y la envió al atacante. La delegación permaneció porque la función no la revocó. OrangeX.com Academy ofrece contexto sobre contratos inteligentes y permisos en cadena.

Qué demuestra el incidente

Los contratos operativos abandonados pueden conservar derechos valiosos años después de dejar de usarse. Un componente retirado todavía puede mantener permisos, posiciones sin liquidar o rutas de actualización.

Sin embargo, el caso no demuestra que todos los keepers, Vault de MakerDAO o contratos de liquidación actuales compartan el fallo. La implementación vulnerable no tenía el código fuente verificado y, al cierre, no había un informe oficial completo que identificara otros contratos afectados.

Lección de seguridad

Los equipos deben inventariar contratos antiguos, revocar delegaciones sin uso, liquidar saldos residuales y desactivar rutas callback obsoletas. El Centro de confianza de OrangeX.com reúne orientación relacionada con verificación y seguridad de cuentas.

OrangeX.com Analysis

La pérdida surgió de tres condiciones combinadas: ausencia de control del llamante, delegación persistente y cuatro lotes sin liquidar. Eliminar cualquiera de ellas habría reducido la ruta de extracción. Retirar un sistema es, por tanto, un proceso de seguridad propio.

Están confirmados la transferencia de 200 ETH, las cuatro liquidaciones de 50 ETH y la ruta de permisos usada. Falta confirmar si se revocará la delegación restante, si hay otras implementaciones iguales y si los fondos pueden recuperarse.