MakerDAO 旧版合约因 $500K 遭到利用，事件可追溯至 2020 年的“黑色星期四”。

一个旧版 MakerDAO 拍卖 keeper 合约遭到利用，损失超过 50 万美元。攻击者利用一个可追溯至 2020 年 3 月黑色星期四的漏洞，转走了 200 ETH。据 CertiK 分析，此次攻击针对的是 4 个每批 50 ETH、在 2020 年清算危机期间从未结算的批次。当时，该拍卖 keeper 合约以零出价从 MakerDAO 赢得了这些 ETH。根本原因是 keeper 实现 0x68399ed8aa33C5b43F863EE6782de492006A5546 中的函数 0x8804d1de 缺少访问控制。这一事件凸显出，加密货币生态系统中的旧版智能合约即使在主要运营期结束多年后，只要仍持有实际价值，就可能继续成为攻击者的有利可图目标。

CertiK 分析揭示缺少访问控制是根本原因

CertiK 的分析详细说明了攻击者如何利用 keeper 实现 0x68399ed8aa33C5b43F863EE6782de492006A5546 中函数 0x8804d1de 缺少访问控制这一问题。该拍卖 keeper 合约是 2020 年 3 月黑色星期四期间最早以零出价从 MakerDAO 赢得 ETH 的合约之一，当时正值清算危机。该事件中的 4 个每批 50 ETH 的批次从未结算，由此产生了被黑客利用的漏洞。利用这一访问控制缺陷，攻击者获得了对全部 4 个批次的访问权限，共计 200 ETH。

攻击者通过 Tornado Cash 分批转移资金，每批 10 ETH

被盗资金通过 Tornado Cash 分批发送至地址 0x01EB957E5C7DcDDD60F3C875956cCc6fb9BdA5FA，每批 10 ETH。攻击者将 200 ETH 拆分为每笔 10 ETH 的交易，通过加密货币混币服务混淆资金流向。

加密货币生态系统中的旧版合约风险仍然存在

该合约并非当前 Sky 生态系统的核心组成部分。这起事件提醒人们注意加密货币风险的长尾效应，表明即使合约在近 5 年内一直没有处于核心地位，只要其中仍有实际价值，就可能继续成为攻击者的有利可图目标。

常见问题

是什么漏洞导致了 MakerDAO 旧版合约遭到利用？

根据 CertiK 的分析，此次攻击是由 keeper 实现 0x68399ed8aa33C5b43F863EE6782de492006A5546 中的函数 0x8804d1de 缺少访问控制导致的。这使攻击者能够访问 2020 年 3 月黑色星期四期间的 4 个尚未结算的 50 ETH 批次。

MakerDAO 旧版合约遭到利用后被盗了多少资金？

攻击者从旧版 MakerDAO 拍卖 keeper 合约中转走了价值超过 50 万美元的 200 ETH。这些资金通过 Tornado Cash 分批发送，每批 10 ETH，以混淆交易流向。