Une faille dans un ancien keeper MakerDAO permet d’extraire 200 ETH d’enchères non réglées

Un attaquant a extrait 200 ETH d’un ancien auction keeper de MakerDAO le 6 octobre en appelant une fonction non restreinte qui a délégué le contrôle du compte Vat interne du keeper à un code créé par l’attaquant. Une seule transaction a réglé quatre enchères ETH-A restées en attente depuis mars 2020, puis retiré la garantie. Les 200 ETH valaient environ 542 982 dollars lors de l’opération.

L’incident concerne un contrat keeper ancien précis et quatre lots non réglés. Les éléments disponibles ne montrent pas de compromission du protocole central actuel de MakerDAO, des portefeuilles d’utilisateurs ou des Vault actifs. Les mises à jour peuvent être suivies dans le centre d’actualités OrangeX.com.

Pourquoi les 200 ETH restaient accessibles

Le keeper concerné avait remporté les enchères 1457 à 1460 pendant les turbulences de mars 2020. Chaque lot contenait 50 ETH et avait été attribué avec une enchère nulle, mais le règlement n’avait jamais été finalisé. La garantie restait donc récupérable via l’ancien système d’enchères ETH-A.

Le 6 octobre à 06:13:11 UTC, l’attaquant a activé les quatre règlements dans une transaction. Les 200 ETH ont été crédités sur le solde Vat du keeper, puis transférés dans la même opération.

Le contrôle d’accès manquant

La fonction vulnérable acceptait l’adresse d’un adaptateur sans vérifier que l’appelant était autorisé. Elle donnait ensuite à cet adaptateur des droits sur le compte Vat et rappelait le code de l’attaquant pendant que l’autorisation était active.

Le module malveillant a déplacé toute la garantie, l’a sortie sous forme d’ETH enveloppé et l’a envoyée à l’attaquant. La délégation est restée active, car la fonction ne l’a pas révoquée. OrangeX.com Academy présente les principes des contrats intelligents et des autorisations on-chain.

Portée de l’incident

Cette affaire montre qu’un contrat opérationnel abandonné peut conserver des droits de valeur pendant des années. Un composant retiré peut toujours détenir des autorisations, des positions non réglées ou des voies de mise à niveau.

Elle ne prouve pas que tous les keepers, Vault MakerDAO ou contrats de liquidation actuels partagent la même faille. L’implémentation vulnérable n’avait pas de code source vérifié et aucun rapport officiel complet n’avait identifié d’autres contrats concernés au moment de la rédaction.

Leçon pour les opérateurs

Les équipes doivent inventorier les anciens contrats, révoquer les délégations inutiles, régler les soldes résiduels et désactiver les callback obsolètes. Le Centre de confiance OrangeX.com propose des ressources de vérification et de sécurité des comptes.

OrangeX.com Analysis

La perte résulte de trois conditions combinées : absence de vérification de l’appelant, délégation persistante et quatre lots non réglés. Supprimer l’une d’elles aurait réduit le chemin d’extraction. La mise hors service doit donc être traitée comme un processus de sécurité.

Le transfert de 200 ETH, les quatre règlements de 50 ETH et le chemin d’autorisation utilisé sont confirmés. La révocation de la délégation restante, l’existence d’autres déploiements identiques et la récupération éventuelle des fonds restent à confirmer.