Спящий агент ликвидационного бота MakerDAO потерял около $538 000 после вывода 200 WETH
OdailyOdaily News: Новый адрес, пополненный через Tornado Cash, 6 октября вывел 200 WETH из спящего агента ликвидационного бота MakerDAO ETH-A, что привело к убыткам примерно в $538 000. Этот обновляемый агент в 2020 году выиграл 4 аукциона ликвидации ETH-A — с 1457-го по 1460-й, — получая по 50 WETH за каждый, но не вызвал deal(), поэтому залог остался в Flipper. Функция вывода в контракте реализации не была защищена ds-auth, и любой вызывающий мог её активировать: сначала вызвать deal() для указанных старых аукционов, затем через Vat.flux перевести залог киперу, после чего вызвать GemJoin.exit, чтобы перевести 200 WETH на указанный вызывающим адрес и развернуть их в ETH. Основные контракты MakerDAO работали как задумано, уязвимость находится в функции вывода стороннего бота без контроля доступа.
Данный контент предназначен исключительно для информационных и образовательных целей и не является инвестиционным советом, связанным с BTCC. BTCC прилагает все усилия, но не может гарантировать правдивость, точность или оригинальность вышеприведенного контента.