攻撃者がブラックサーズデー由来のMaker(MKR)旧オークションキーパーから200 ETHを流出

6年前のコントラクトから200 ETHが流出

2020年3月のブラックサーズデー騒動から6年を経て、MakerDAO向けに構築された旧オークションキーパーコントラクトから攻撃者が200 イーサリアム (ETH)(当該インシデント分析では50万ドル超と評価)を持ち去った。セキュリティ企業のCertiKが水曜日に調査結果を公表し、根本原因を特定の欠陥に断定した。キーパー実装(0x68399ed8aa33C5b43F863EE6782de492006A5546)内の関数で、セレクタ0x8804d1deにアクセス制御が欠けていたという。この権限チェックが存在しなかったため、攻撃者は当該関数を呼び出し、2020年以降コントラクト内に未決済のまま残っていた50 ETH×4ロットを抽出できた。セレクタと実装アドレスは公開済みで、セキュリティ研究者なら誰でも検証を再現できる。今年の被害総額数百万ドル規模のハッキングに比べれば金額は小さいが、資金の出所がこの事案を特異なものにしている。オークションキーパーとは、運用者の代わりにプロトコルの担保オークションへ自動入札するコントラクトであり、このキーパーは2020年3月にイーサリアムが急落した際、清算の波がDAOを直撃した局面でETHを取得していた。オンチェーン記録によれば、盗難資金の痕跡を断つミキサーであるTornado Cashへ、Etherscanが受取先として表示するアドレスから10 ETH単位の分割送金で流出している。報告書は攻撃者の身元を明らかにしていない。Maker(MKR)の価格は、プロトコルのガバナンストークンが背負う銘柄として過去24時間で10.4%下落しているが、攻撃者が奪った資産はすべてETH建てだった。

ブラックサーズデーとは、2020年3月にイーサリアムの急落がMakerDAOの清算処理を追い越した局面を指す。通常なら複数の入札者が競うオークションが、対抗入札ゼロのまま落札された。このオークションキーパーは、ゼロ入札条件でETHを取得した最初期のコントラクトの一つであり、プロトコルのオークションが市場価格を大幅に下回る中で担保を引き取った。この条件下ではプロトコルから実質無償で価値が流出したことになり、オークション運用のために作られたコントラクトが危機の終息後も換金しないままイーサリアム (ETH)を保有し続けた経緯はこう説明できる。50 ETHのロット4本が決済されないまま残り、以後のすべての市況サイクルを通じてコントラクトの帳簿上にとどまっていた。この200 ETHこそ、アクセス制御の欠落が射程内に置いた資産である。当該コントラクトはMakerプロトコルの後継であるSkyの現行エコシステム外にあり、少なくとも5年間、中心的役割を担ってきたわけではない。Skyへの再ブランド化で人員と資金は新しいインフラに移り、このような構成要素は日常的なレビューの対象から外れた。厄介なのはこの休眠状態そのものだ。2020年以降放置されたモジュールが依然として実価値を保持し、5年の無活動でも残高が塵にならなかった。Skyの現行アーキテクチャにとって本件は運用面での影響がゼロだが、業界が後回しにしがちな監査上の問いを鋭く突きつける。過去世代の孤立コントラクトを資金込みのままメインネットに放置するのではなく、空にするか正式に閉鎖すべきではないのか。CertiKの検証報告は診断で終わっており、パッチも停止措置も資金回収の手立て発表も伴っていない。

Tornado Cash経由で回収は困難に

オンチェーン上の証拠は本件窃盗の性質を明確に示している。攻撃者は目新しい技術を必要とせず、6年間オンチェーンで資金込みロットが見えていたコントラクトの無防備な関数を使っただけだ。10 ETH単位でのTornado Cashへの送金は慌てた撤収ではなく計画的なルーティングを示し、ミキサーに流入した時点で実効的な回収は事実上終わる。Maker(MKR)保有者にとっての影響は評判面にとどまる。プロトコルの現行担保エンジンは攻撃経路に一度も含まれておらず、貸借対照表への損害も発生していない。未解明なのは侵害ポイントそのものの現在状態だ。検証報告にもチームの声明にも、停止、パッチ適用、回収活動のいずれも記述がなく、現状は未報告のままである。