Defimon Alerts เตือน: บอทชำระบัญชี MakerDAO บุคคลที่สามที่ไม่ได้ใช้งานถูกถอน 200 WETH สูญเสียประมาณ 538,000 ดอลลาร์สหรัฐ

ตามการตรวจสอบของ Defimon Alerts ที่อยู่ใหม่ที่ได้รับเงินทุนจาก Tornado Cash ได้ถอน 200 WETH จากบอทชำระบัญชี ETH-A ของ MakerDAO ที่ไม่ได้ใช้งานเมื่อวันที่ 6 ตุลาคม ส่งผลให้สูญเสียประมาณ 538,000 ดอลลาร์สหรัฐ พร็อกซีที่อัปเกรดได้นี้เคยชนะการประมูลชำระบัญชี ETH-A สี่ครั้งในปี 2020 (หมายเลข 1457 ถึง 1460 ครั้งละ 50 WETH) แต่ไม่ได้เรียก deal() ทำให้หลักประกันยังคงอยู่ใน Flipper ฟังก์ชันการถอนของสัญญาการดำเนินการไม่ได้รับการป้องกันด้วย ds-auth ทำให้ผู้เรียกใดก็ได้สามารถเรียกใช้ได้: ขั้นแรกเรียก deal() บนการประมูลเก่าที่กล่าวถึง จากนั้นโอนหลักประกันไปยัง keeper ผ่าน Vat.flux และต่อมาใช้ GemJoin.exit เพื่อโอน 200 WETH ไปยังที่อยู่ที่ผู้เรียกระบุและแปลงเป็น ETH สัญญาหลักของ MakerDAO ทำงานตามที่ออกแบบไว้ โดยช่องโหว่อยู่ที่ฟังก์ชัน exit ที่ไม่มีสิทธิ์ของบอทบุคคลที่สาม