Loading...
10 月 6 日,某由 Tornado Cash 注资的新地址提取某休眠 MakerDAO ETH-A 清算机器人代理中的 200 枚 WETH,造成约 53.8 万美元损失。该代理曾于 2020 年赢得 4 场 ETH-A 清算拍卖,每场获得 50 枚 WETH,因未调用 deal() 导致抵押品留存。实现合约的提取函数未受 ds-auth 保护,攻击者通过调用 deal()、Vat.flux 及 GemJoin.exit 将 200 枚 WETH 转出。MakerDAO 核心合约运行正常,漏洞位于第三方机器人未设置权限控制的退出函数。