Бот-ликвидатор MakerDAO: 200 ETH вышли из тени Tornado Cash и вернулись в неё за 31 минуту

По данным Defimon Alerts, сообщивших об инциденте, целью был обновляемый контракт-кипер — бот, который делает ставки на аукционах залога MakerDAO. В 2020 году он выиграл четыре аукциона ETH-A, с номерами от 1457 до 1460, по 50 WETH каждый, и не забрал выигрыш: последний шаг, передающий залог победителю, так и не был вызван. Шесть лет 200 WETH лежали в аукционном контракте Maker и причитались боту, которым никто не управлял.

У функции вывода в этом боте не было проверки доступа. Любой мог вызвать её, завершить четыре старых аукциона от имени бота, вывести залог через собственный контракт выхода Maker и указать получателем любой адрес. Так и произошло. Контракты MakerDAO не взломаны, пользователи протокола ничего не потеряли; убыток несёт владелец бота.

Кошелька атакующего, 0x01EB957E5C7DcDDD60F3C875956cCc6fb9BdA5FA, не существовало до 05:57:23 UTC 6 октября, когда на него пришло 0,0978 ETH из пула Tornado Cash на 0,1 ETH — на газ и ни на что больше.

В 06:09 и 06:12 кошелёк развернул два контракта. В 06:13:11 он вызвал второй, и в этой одной транзакции четыре аукциона были завершены, 200 WETH вышли из адаптера залога Maker, были развёрнуты в эфир, и 200 ETH оказались на кошельке атакующего.

Через шесть минут начались депозиты. С 06:19:35 до 06:28:35 кошелёк сделал двадцать депозитов по 10 ETH в Tornado Cash, примерно по одному каждые полминуты. Это все 200 ETH. На кошельке осталось 0,07 ETH неизрасходованного газа.

Сумма небольшая. Схема — нет. Кошелёк, первая транзакция которого — вывод из миксера, а через несколько минут — развёртывание контракта, — это то же начало, которое мы видели перед выводом из хранилища в Base, взломом Bonzo Lend и первым взломом Aztec. Здесь вся операция уместилась между двумя транзакциями Tornado, с четвертью часа, за которую никто не успел бы отреагировать.

Ещё одна деталь: использован пул на 10 ETH, а не на 100 — двадцать депозитов там, где хватило бы двух. За прошлый квартал кражи, которые мы проследили, почти всегда шли через пул на 100 ETH. Почему здесь иначе, мы не знаем.

И это напоминание о старых контрактах. Так же в июне опустошили выведенные из работы роллапы Aztec: код, отключённый годы назад, всё ещё держит деньги и всё ещё вызывается.

Кошелёк атакующего и два его вспомогательных контракта мы пометили в нашей базе как связанные со взломом. Опустошённого бота и контракты MakerDAO не помечали. Остатка для наблюдения нет. Проверить любой адрес можно на странице проверки адреса.

Она никого не называет и не говорит, кто управляет каким-либо адресом. Механизм и адрес атакующего первыми опубликовали Defimon Alerts; время, пополнение из Tornado и депозиты — наши, прочитаны в сети 7 октября 2026 года. Долларовая оценка — та, что называлась в день инцидента.