Defimon Alerts: с бездействующего стороннего бота-ликвидатора MakerDAO выведено 200 WETH, убыток составил около 538 000 долларов

Согласно мониторингу Defimon Alerts, новый адрес, финансируемый через Tornado Cash, 6 октября вывел 200 WETH с бездействующего бота-ликвидатора MakerDAO ETH-A, что привело к убытку примерно в 538 000 долларов. Этот обновляемый прокси-контракт выиграл четыре аукциона ликвидации ETH-A в 2020 году (номера с 1457 по 1460, каждый по 50 WETH), но не вызвал deal(), оставив залог в Flipper. Функция вывода средств контракта реализации не была защищена ds-auth, что позволяло любому вызывающему инициировать её: сначала вызвать deal() для вышеупомянутых старых аукционов, затем перевести залог хранителю через Vat.flux, а после использовать GemJoin.exit для перевода 200 WETH на указанный вызывающим адрес и распаковки в ETH. Основные контракты MakerDAO работали как задумано, уязвимость заключалась в непривилегированной функции выхода стороннего бота.