約53.8万ドルの損失、休眠状態のMakerDAO清算ボットエージェントから200枚のWETHが引き出される

Odaily星球日报によると、Tornado Cashから資金提供を受けた新規アドレスが10月6日、休眠状態にあったMakerDAO ETH-A清算ボットエージェントから200枚のWETHを引き出し、約53.8万ドルの損失が発生した。このアップグレード可能なエージェントは2020年に4回のETH-A清算オークション（第1457号から第1460号）で落札し、各回50枚のWETHを獲得していたが、deal()を呼び出していなかったため、担保はFlipper内に残っていた。実装コントラクトの引き出し関数はds-authによる保護がなく、任意の呼び出し者がトリガー可能であった。まず上記の旧オークションに対してdeal()を呼び出し、次にVat.fluxを通じて担保をkeeperに転送し、その後GemJoin.exitを呼び出して200枚のWETHを呼び出し者指定のアドレスに送金しETHにアンラップした。MakerDAOのコアコントラクトは設計通りに動作しており、脆弱性はサードパーティ製ボットのアクセス制御が設定されていない退出関数に存在する。