2020年の落札担保が不正に引き出される、権限確認の欠落が原因
イーサリアム（Ethereum）上で運用されていた旧メイカーダオ（MakerDAO）の第三者清算ボットから、暗号資産（仮想通貨）「ラップドイーサ（WETH）」200枚が不正に引き出された。分散型金融（DeFi）セキュリティ監視サービスのディファイモン・アラーツ（Defimon Alerts）が10月6日に報告した。被害は同日に発生しており、ディファイモンは流出額を約53.8万ドル（約8,510万円）相当と報告している。
被害対象は、旧メイカーダオのETH-A担保清算オークションに参加していたキーパー（Keeper）と呼ばれる清算ボットで、休眠状態にあった。キーパーは、担保の清算オークションへの入札などを自動で行う外部のプログラムである。
報告によると、同ボットは2020年に4件の清算オークションを落札していた。対象はオークション番号1457～1460で、各50 WETH、合計200 WETHの担保を受け取る権利があった。しかし、落札後に担保を受け取る処理「deal()」が実行されておらず、担保は旧オークション用コントラクト「フリッパー（Flipper）」に残っていたという。
ディファイモンによると、同ボットの実装コントラクトにある引き出し処理には、権限確認の仕組み「ds-auth」による保護が適用されていなかったとのこと。このため、権限を持たない第三者でも同処理を呼び出せる状態だったとのことだ。
攻撃者はこの処理を悪用し、過去のオークションに残っていた担保をボットへ移したという。その後、200 WETHを攻撃者が指定したアドレスに引き出し、ラップを解除して200 ETHに変換したとのこと。攻撃に使われた新規アドレスは、暗号資産ミキシングサービスのトルネードキャッシュ（Tornado Cash）経由で資金供給を受けていたとのことだ。
WETHは、イーサリアムの暗号資産「イーサ（ETH）」を、トークン規格「ERC-20」に対応させたものだ。スマートコントラクトにETHを預けることで同量のWETHを受け取れ、WETHを戻すことで同量のETHを引き出せる。
なおディファイモンは、メイカーダオの中核コントラクトであるVat・Flipper・GemJoinは設計通りに動作したと説明している。今回の脆弱性は、第三者の清算ボットにある、権限確認が設定されていない引き出し処理にあったと説明されている。
🚨 MakerDAO ETH-A Liquidation Keeper Bot – Loss ~$538K (2026-10-06) Token: $WETH Network: Ethereum Type: Access Control (missing auth on keeper proxy) A Tornado-funded fresh EOA drained a dormant (2020) MakerDAO flip-keeper proxy. The keeper (upgradeable proxy 0x9c05…8273, impl 0x6839…5546) had won four ETH-A liquidation auctions (#1457–1460, 50 WETH each) back in 2020 and never called deal(), leaving 200 WETH of collateral locked in the ETH-A Flipper. The impl’s drain routine (sel 0x8804d1de) was NOT protected by ds-auth (owner=0xadc374e7, authority=0x0), so any caller could invoke it: it calls https://t.co/xBgloMhT4V() on the keeper’s old auctions → Vat.flux the collateral to the keeper → GemJoin.exit() 200 WETH to an attacker-supplied recipient → unwrap to 200 ETH. MakerDAO core (Vat/Flipper/GemJoin) behaved as designed; the flaw is the third-party keeper’s unprotected exit function. TX: https://t.co/u0Rixe48EF Attacker: https://t.co/p7O7XctsDB Victim: https://t.co/rHnk4s0i1d (unverified impl) ⏱️ Real-time alerts: https://t.co/X9cKWDVOJz
— Defimon Alerts (@DefimonAlerts) October 6, 2026
参考：Defimon Alerts
画像：PIXTA