สูญเสียประมาณ 538,000 ดอลลาร์สหรัฐฯ บอทชำระบัญชี MakerDAO ที่ไม่ได้ใช้งานถูกถอน 200 WETH

Odaily รายงานว่า ที่อยู่ใหม่ที่ได้รับเงินทุนจาก Tornado Cash ได้ถอน 200 WETH จากตัวแทนบอทชำระบัญชี MakerDAO ETH-A ที่ไม่ได้ใช้งาน เมื่อวันที่ 6 ตุลาคม ทำให้เกิดความสูญเสียประมาณ 538,000 ดอลลาร์สหรัฐฯ ตัวแทนที่สามารถอัปเกรดได้นี้เคยชนะการประมูลชำระบัญชี ETH-A 4 ครั้งในปี 2020 คือการประมูลครั้งที่ 1457 ถึง 1460 โดยได้รับ 50 WETH ต่อครั้ง แต่ไม่ได้เรียกใช้ deal() ดังนั้นหลักประกันจึงคงอยู่ใน Flipper ฟังก์ชันถอนของสัญญาที่ใช้งานไม่ได้ถูกป้องกันด้วย ds-auth ผู้เรียกใช้ใดก็สามารถกระตุ้นได้: ขั้นแรกเรียกใช้ deal() กับการประมูลเก่าข้างต้น จากนั้นโอนหลักประกันไปยัง keeper ผ่าน Vat.flux หลังจากนั้นเรียกใช้ GemJoin.exit เพื่อโอน 200 WETH ไปยังที่อยู่ที่ผู้เรียกใช้กำหนดและแกะเป็น ETH สัญญาหลักของ MakerDAO ทำงานตามการออกแบบ ช่องโหว่อยู่ที่ฟังก์ชัน exit ของบอทบุคคลที่สามที่ไม่ได้ตั้งค่าการควบคุมสิทธิ์