遗留拍卖守护合约遭攻击 Maker(MKR)旧_keeper_被盗200枚ETH

200枚ETH从六年前的守护合约流出

一起追溯至2020年3月“黑色星期四”危机的攻击事件于近日曝光:攻击者从为MakerDAO早期部署的遗留拍卖守护合约中转走200枚Ethereum (ETH),按事件分析口径价值超过50万美元。安全公司CertiK周三发布分析报告,将根因锁定在具体缺陷上:部署于0x68399ed8aa33C5b43F863EE6782de492006A5546的守护合约实现中,索引为0x8804d1de的函数缺少访问控制。正是这一权限校验缺位,让攻击者得以直接调用该函数,提取出2020年以来一直闲置在合约内的四批、每批50枚ETH。函数选择器与实现地址现已公开,任何安全研究者都可独立复现这一结论。与今年动辄数百万美元的攻击大案相比,这个数字不大,但资金的来历才是此案的独特之处。拍卖守护合约是一种自动参与协议抵押品清算拍卖的合约,代表运营方出价。该合约正是在2020年3月以太坊暴跌、清算潮席卷这个DAO时收取的ETH,那波清算浪潮撕开了协议的清算机制。链上记录显示,资金以每批10枚ETH的规模分批转入混币器Tornado Cash,切断了被盗资产的可视路径,转出地址是Etherscan标注的接收地址。报告没有公布攻击者身份。由协议治理代币承载的Maker(MKR)价格过去24小时下跌10.4%,而攻击者掠走的资产完全以ETH计价。

“黑色星期四”指的是2020年3月的那个交易日:ETH跌速超过MakerDAO清算机制的承受能力,本应吸引多方竞拍的清算拍卖在没有任何对手出价的情况下成交。这套拍卖守护合约正是最早以零出价条件从系统中赢得ETH的合约之一,在协议拍卖价格远低于合理市价时收取了抵押品。在这种成交条件下,价值几乎等于白送,这就是一台为拍卖服务的合约最终持有一批从未变现的ETH的原因。四批50枚ETH一直未结算,跨越此后每一轮市场周期留在合约账上,这200枚ETH正是缺失的访问控制所暴露的资产。该合约位于当前的Sky生态之外,Sky是Maker协议更名后的延续,五年来它早已不是该系统的核心组件。更名Sky后,资金与注意力转向新基础设施,类似这样的旧模块被排除在例行审查范围之外。本案令人不安之处正在于这种沉睡状态:一个自2020年起被搁置的模块仍携带真实价值,五年闲置并没有把余额清零。对Sky现有的技术架构而言,此次事件在运营层面没有影响,但它把一个行业惯于搁置的审计问题摆上台面:早期遗留的孤立合约,应当清空还是正式注销,而不是继续带资留在主网上。CertiK的报告止步于诊断,未附任何修复、暂停或追回动作。

Tornado Cash中转让追回几无可能

链上证据说明了这起盗窃的性质:攻击者没有使用任何新技术,只需调用一个无人设防的函数,而合约中带资的批次已在链上公开可见六年。每批10枚Ethereum (ETH)转入Tornado Cash的节奏指向有预谋的路径安排,而非仓皇出逃;资金一旦进入混币器,实际追回基本宣告结束。对Maker(MKR)持有者而言,此次事件的暴露面在声誉层面而非资产负债表层面,协议现行的清算引擎从未处于攻击路径之中。仍悬而未决的是漏洞入口本身的处置状态:事后报告与任何团队声明都未提及暂停、修复或资金追回,该状态目前没有公开信息。