DeFi历史合约漏洞引发50万美元损失

根据安全研究机构CertiK的分析报告，一起针对MakerDAO生态系统内遗留智能合约的攻击事件浮出水面。攻击者利用一个特定拍卖管理合约中的访问控制缺陷，成功取走了价值超过50万美元的200枚以太坊（ETH）。

漏洞根源：一个未被锁定的函数

问题的核心在于一个名为0x8804d1de的函数。CertiK指出，该函数在设计上缺少必要的权限检查机制，导致任何外部地址都能调用并执行其关键操作。这个合约并非MakerDAO当前运行体系的一部分，而是一个历史遗留组件。

“黑色星期四”的遗留资产

这个被利用的合约与2020年3月那场著名的DeFi“黑色星期四”市场崩盘直接相关。当时，市场剧烈波动引发了大规模的抵押品清算，该合约曾以零出价赢得了多批ETH拍卖品。

  • 历史遗留：其中4笔各50 ETH的资产始终未被最终结算，一直留存在合约地址中。
  • 攻击过程：攻击者通过调用有缺陷的函数，直接取得了这200 ETH的控制权。
  • 资金转移：得手后，攻击者将资金分拆，通过隐私协议转出，试图混淆资金来源。

旧合约，新风险：给行业的启示

尽管该合约已不再活跃于MakerDAO的核心业务，但它持有的真实资产使其成为了一个有价值的目标。这次事件清晰地揭示了一个常被忽视的安全盲区：部署在区块链上的智能合约一旦存在漏洞，即便已被弃用，其风险也不会自动消失。

对于DeFi项目方和审计机构而言，这起事件是一个重要的提醒。在关注前沿协议和最新代码安全的同时，也必须建立对历史合约及其资产状态的持续监控与管理机制，防止“僵尸合约”成为生态系统的突破口。