defimon

Согласно мониторингу Defimon Alerts, новый адрес, финансируемый Tornado Cash, 6 октября вывел 200 WETH из неактивного ликвидационного робота MakerDAO ETH-A, понеся убытки около 538 тысяч долларов.Этот обновляемый агент выиграл четыре ликвидационных аукциона ETH-A в 2020 году (номер 1457 до 1460, по 50 WETH каждый), но не вызвал deal（），залоги остались в Flipper.Функция извлечения реализующего контракта не защищена ds-auth, и любой вызывающий может ее активировать: сначала вызвать deal（） для вышеупомянутых старых аукционов, затем через Vat.flux перевести залог к keeper, после чего GemJoin.exit переведет 200 WETH на указанный вызывающим адрес и распакует в ETH. Основной контракт MakerDAO работает по замыслу, уязвимость заключается в том, что функция выхода третьего робота не имеет ограничений.

Сообщение ChainCatcher, компания безопасности Defimon выпустила предупреждение о том, что была обнаружена атака на управление YAM Finance. Злоумышленник после само Доверенность около 504 тысяч YAM (примерно 3,3% от общего объема, немного выше установленного порога голосования) подал предложение YamGovernorAlpha #45, которое описано как пустое ("0x"), единственное действие которого - вызов метода setPendingAdmin контракта YAM Timelock, указывающего на адрес злоумышленника.Согласно раскрытой информации, если это предложение будет одобрено и выполнено, злоумышленник станет pendingAdmin и затем сможет полностью контролировать Timelock через acceptAdmin, что даст ему доступ ко всем контрактам протокола YAM и управлению DAO-казной, что связано с риском в размере около 337 тысяч долларов. Поскольку протокол в настоящее время находится в спящем состоянии, Defimon Alerts напоминает пользователям, владеющим YAM, проголосовать против этого предложения до высоты блока 25897343 (примерно осталось 34 часа).