Defimon Alerts: 어떤 휴면 제3자 MakerDAO 청산 로봇 대리인이 200개의 WETH를 인출하여 약 53.8만 달러의 손실이 발생했습니다

Defimon Alerts의 모니터링에 따르면, Tornado Cash가 자금을 지원한 새로운 주소가 10월 6일에 휴면 MakerDAO ETH-A 청산 로봇 에이전트에서 200개의 WETH를 인출했으며, 손실은 약 538,000달러에 달합니다.

이 업그레이드 가능한 에이전트는 2020년에 네 번의 ETH-A 청산 경매(제 1457에서 1460호, 각 50개의 WETH)를 수상했지만 deal()을 호출하지 않았고, 담보는 Flipper에 남아 있었습니다.

실행 계약의 인출 함수는 ds-auth 보호를 받지 않아 임의의 호출자가 트리거할 수 있습니다: 먼저 위의 구 경매에 deal()을 호출한 후, Vat.flux를 통해 담보를 keeper로 이동시키고, 이후 GemJoin.exit를 통해 200개의 WETH를 호출자가 지정한 주소로 전송하고 ETH로 해제합니다. MakerDAO 핵심 계약은 설계대로 작동하지만, 취약점은 제3자 로봇의 권한 없는 퇴출 함수에 있습니다.