Defimon Alerts: Некоторый спящий третий сторонний агент по ликвидации MakerDAO извлек 200 монет WETH, убыток составил около 538 тысяч долларов США

Согласно мониторингу Defimon Alerts, новый адрес, финансируемый Tornado Cash, 6 октября вывел 200 WETH из неактивного ликвидационного робота MakerDAO ETH-A, понеся убытки около 538 тысяч долларов.

Этот обновляемый агент выиграл четыре ликвидационных аукциона ETH-A в 2020 году (номер 1457 до 1460, по 50 WETH каждый), но не вызвал deal（），залоги остались в Flipper.

Функция извлечения реализующего контракта не защищена ds-auth, и любой вызывающий может ее активировать: сначала вызвать deal（） для вышеупомянутых старых аукционов, затем через Vat.flux перевести залог к keeper, после чего GemJoin.exit переведет 200 WETH на указанный вызывающим адрес и распакует в ETH. Основной контракт MakerDAO работает по замыслу, уязвимость заключается в том, что функция выхода третьего робота не имеет ограничений.