Kontrak lelang warisan (legacy auction-keeper) milik MakerDAO dilaporkan telah dieksploitasi dengan kerugian lebih dari US$500.000. Serangan tersebut disebut berakar pada peristiwa Black Thursday yang terjadi pada Maret 2020, ketika jaringan MakerDAO dilanda krisis likuidasi. Analisis CertiK mengungkapkan bahwa penyerang berhasil menguras 200 ETH dari kontrak tersebut.
Missing access control jadi akar masalah
Menurut analisis CertiK, akar masalah eksploitasi ini adalah tidak adanya kontrol akses (missing access control) pada fungsi 0x8804d1de di dalam implementasi keeper 0x68399ed8aa33C5b43F863EE6782de492006A5546. Melalui celah tersebut, penyerang dapat memperoleh akses ke empat lot berisi 50 ETH yang masih tersisa dari krisis Black Thursday.
Kontrak auction-keeper ini merupakan salah satu kontrak pertama pada Black Thursday Maret 2020 yang memenangkan ETH dari MakerDAO melalui mekanisme “zero bids” selama krisis likuidasi. Empat lot berisi 50 ETH masing-masing tidak pernah diselesaikan, dan kondisi itulah yang kemudian dimanfaatkan oleh penyerang.
Dalam laporan yang sama, CertiK juga menyinggung soal pergerakan harga Stablecoin Development Corp yang naik tanpa alasan yang jelas.
Dana dialirkan melalui Tornado Cash
Setelah berhasil menguasai dana tersebut, penyerang mengirimkannya dalam bentuk lot berisi 10 ETH melalui Tornado Cash. Penggunaan mixer kripto semacam itu umumnya bertujuan menyamarkan jejak transaksi agar dana sulit dilacak.
Meski demikian, kontrak yang dieksploitasi ini bukan merupakan bagian inti dari ekosistem Sky saat ini. Sejumlah pihak juga menyoroti perkembangan lain di sektor stablecoin, termasuk langkah Tether yang secara publik mencatatkan perusahaan yang mengendalikan sebagian USDS.
Peringatan soal risiko jangka panjang kripto
Kasus ini menjadi pengingat akan apa yang disebut sebagai “long tail” risiko di dunia mata uang kripto. Kontrak yang sudah lama tidak menjadi bagian sentral sebuah protokol, bahkan selama hampir setengah dekade, tetap bisa menjadi target menarik bagi penyerang apabila masih menyimpan nilai nyata di dalamnya.
Eksploitasi terhadap kontrak keeper legacy MakerDAO ini menunjukkan bahwa jejak kode dan aset dari periode krisis masa lalu dapat bertahan jauh lebih lama daripada peran aktifnya dalam sebuah ekosistem. Hal ini menjadikan audit dan pemantauan berkelanjutan terhadap kontrak-kontrak lama sebagai hal yang penting, sekalipun kontrak tersebut sudah tidak digunakan secara operasional.
