공격자, 구형 메이커다오 경매 키퍼 컨트랙트 악용해 50만 달러 초과 탈취

공격자가 구형 메이커다오 경매 키퍼 컨트랙트를 악용해 50만 달러를 초과하는 금액을 탈취했다. 서틱(CertiK)의 분석에 따르면 공격자는 컨트랙트에서 200 ETH를 빼냈다. 이 경매 키퍼 컨트랙트는 2020년 3월 블랙 써스데이 청산 사태 당시 0 입찰을 통해 메이커다오에서 ETH를 처음 낙찰받은 컨트랙트 가운데 하나였다. 50 ETH씩 담긴 로트 4건이 정산되지 않은 상태로 남아 공격자가 해당 자금에 접근할 수 있었다.

서틱의 분석은 키퍼 구현체 0x68399ed8aa33C5b43F863EE6782de492006A5546의 함수 0x8804d1de에 접근 제어가 없었던 점을 근본 원인으로 지목했다. 탈취한 자금은 이후 10 ETH씩 나뉘어 토네이도 캐시를 통해 전송됐다.

해당 컨트랙트는 현재 스카이 생태계의 핵심 부분은 아니었다. 이번 악용 사례는 암호화폐 컨트랙트와 관련한 위험이 지속되고 있음을 보여준다. 지난 5년간 핵심적으로 쓰이지 않은 컨트랙트도 실제 가치를 보유하고 있다면 공격자에게 여전히 수익성 있는 표적이 될 수 있다.