旧MakerDAO Keeperの脆弱性、未決済オークションから200 ETH流出

攻撃者は10月6日、旧MakerDAO auction keeperの制限されていない関数を呼び出し、keeperの内部Vatアカウントに対する権限を自作コードへ委任して200 ETHを引き出しました。1件のトランザクションで2020年3月から未決済だった4件のETH-Aオークションを決済し、その担保を外部へ移しています。200 ETHは実行時点で約54万2,982ドル相当でした。

対象は特定の旧keeperコントラクトと4つの未決済ロットです。現時点の証拠は、現行MakerDAO中核プロトコル、利用者ウォレット、稼働中のVaultが侵害されたことを示していません。続報はOrangeX.comニュースで確認できます。

200 ETHが利用可能になった経緯

対象keeperは2020年3月の市場混乱時にオークション1457～1460を落札していました。各ロットは50 ETHで、ゼロ入札で落札されましたが、決済は完了していませんでした。このため担保は廃止済みETH-Aオークションシステム上で請求可能なままでした。

攻撃者は10月6日06:13:11 UTC、1件の取引で4つの決済を実行しました。200 ETHがkeeperのVat残高へ計上され、同じ取引内で外部へ移されました。

欠けていたアクセス制御

脆弱な関数は、呼び出し元の権限を確認せずアダプターアドレスを受け入れていました。その後、アダプターにVatアカウントの権限を付与し、権限が有効な間に攻撃者のコードへコールバックしました。

悪意あるモジュールは担保全額を移動し、wrapped ETHとして引き出して攻撃者へ送付しました。関数が権限を取り消さなかったため委任も残りました。OrangeX.com Academyではスマートコントラクトと権限管理の基礎を解説しています。

この事案から言える範囲

運用を終えたコントラクトでも、アカウント権限、未決済ポジション、更新経路が残れば数年後まで価値ある権利を保持し得ます。一方、すべてのkeeper、MakerDAO Vault、現行の清算コントラクトに同じ欠陥があることを示すものではありません。脆弱な実装はソース検証されておらず、他の対象を特定する包括的な公式報告も確認されていません。

運営者への教訓

チームは旧コントラクトを棚卸しし、不要な委任を取り消し、残高を決済し、古いcallback経路を無効化する必要があります。確認とアカウント保護の関連情報はOrangeX.com Trust Centerにあります。

OrangeX.com Analysis

損失は、呼び出し元確認の欠如、永続する委任、未決済の4ロットという条件が重なって生じました。いずれか1つを除くだけでも流出経路は縮小できました。運用終了は単なる利用停止ではなく、独立したセキュリティ工程です。

確認済みなのは200 ETHの移転、50 ETHずつ4件の決済、取引で使われた権限経路です。残る委任が取り消されるか、同じ実装の別コントラクトがあるか、資金回収が可能かは、関係者の検証済み発表を待つ必要があります。