Falha em keeper antigo da MakerDAO retira 200 ETH de leilões não liquidados

Um invasor retirou 200 ETH de um auction keeper antigo da MakerDAO em 6 de outubro ao chamar uma função sem restrições que delegou o controle da conta Vat interna do keeper a código criado pelo próprio invasor. Uma única transação liquidou quatro leilões ETH-A parados desde março de 2020 e retirou a garantia resultante. Os 200 ETH valiam cerca de US$ 542.982 no momento da operação.

O incidente envolveu um contrato keeper antigo específico e quatro lotes não liquidados. As evidências disponíveis não indicam comprometimento do protocolo central atual da MakerDAO, de carteiras de usuários ou de Vaults ativos. Novidades podem ser acompanhadas no hub de notícias da OrangeX.com.

Como os 200 ETH ficaram disponíveis

O keeper afetado havia vencido os leilões 1457 a 1460 durante a turbulência de mercado de março de 2020. Cada lote continha 50 ETH e foi vencido com lance zero, mas o keeper nunca concluiu a liquidação. Assim, a garantia continuou resgatável pelo sistema desativado de leilões ETH-A.

Em 6 de outubro, às 06:13:11 UTC, o invasor ativou as quatro liquidações em uma transação. Os 200 ETH foram creditados ao saldo Vat do keeper e transferidos para fora na mesma operação.

A verificação de acesso ausente

A função vulnerável aceitava um endereço de adaptador sem verificar se o chamador estava autorizado. Em seguida, concedia ao adaptador permissão sobre a conta Vat e devolvia o controle ao código do invasor enquanto a permissão permanecia ativa.

O módulo malicioso moveu toda a garantia, retirou-a como ETH embrulhado e a encaminhou ao invasor. A delegação continuou porque a função não a revogou. A OrangeX.com Academy explica fundamentos de contratos inteligentes e permissões on-chain.

O que o incidente demonstra

Contratos operacionais abandonados podem manter direitos valiosos anos depois do fim do uso principal. Um componente desativado ainda pode guardar permissões, posições pendentes ou caminhos de atualização.

O caso não demonstra que todos os keepers, Vaults da MakerDAO ou contratos de liquidação atuais tenham a mesma falha. A implementação vulnerável não tinha código-fonte verificado publicamente, e nenhum relatório oficial completo havia identificado outros contratos afetados até a publicação.

Lição de segurança

As equipes devem inventariar contratos antigos, revogar delegações sem uso, liquidar saldos residuais e desativar caminhos de callback obsoletos. O Centro de Confiança da OrangeX.com reúne orientações relacionadas a verificação e segurança de contas.

OrangeX.com Analysis

A perda surgiu da combinação de três condições: ausência de verificação do chamador, delegação persistente e quatro lotes não liquidados. Remover qualquer uma delas teria reduzido o caminho de retirada. Desativar um sistema é, portanto, um processo de segurança próprio.

Estão confirmados a transferência de 200 ETH, as quatro liquidações de 50 ETH e o caminho de permissões usado. Ainda depende de confirmação se a delegação restante será revogada, se existem outras implementações iguais e se os fundos podem ser recuperados.