Yaklaşık 538 bin dolar kayıp: Uykuda olan bir MakerDAO tasfiye botu vekilinden 200 WETH çekildi
Odaily News: Tornado Cash tarafından fonlanan yeni bir adres, 6 Ekim'de uykuda olan bir MakerDAO ETH-A tasfiye botu vekilinden 200 WETH çekerek yaklaşık 538 bin dolar kayba neden oldu. Yükseltilebilir bu vekil, 2020'de 4 ETH-A tasfiye ihalesini (1457'den 1460'a kadar) kazanmış ve her birinden 50 WETH elde etmişti, ancak deal() çağrısını yapmadığı için teminatlar Flipper'da kaldı. Uygulama sözleşmesinin çekim fonksiyonu ds-auth korumasına sahip değildi ve herhangi bir çağıran tarafından tetiklenebiliyordu: önce söz konusu eski ihaleler için deal() çağrısı yapılıyor, ardından Vat.flux aracılığıyla teminatlar keeper'a aktarılıyor, sonrasında GemJoin.exit çağrılarak 200 WETH çağıranın belirttiği adrese gönderiliyor ve ETH'ye çözülüyordu. MakerDAO çekirdek sözleşmeleri tasarımlandığı gibi çalıştı; açık, üçüncü taraf botun izin kontrolü ayarlanmamış çıkış fonksiyonundaydı.