MakerDAO ліквідаційний робот-агент вилучив 200 WETH, збитки близько 538 тисяч доларів

6 жовтня нова адреса, профінансована Tornado Cash, вилучила 200 WETH з ліквідаційного робота-агента MakerDAO ETH-A, що призвело до збитків близько 538 тисяч доларів. Цей агент виграв чотири аукціони ліквідації ETH-A у 2020 році, але не викликав deal, а заставу залишив у Flipper. Функція вилучення не була захищена ds-auth, тому будь-який викликач міг її активувати. Викликач спочатку викликав deal для старого аукціону, потім через Vat.flux заставу перевели до keeper, і нарешті через GemJoin.exit 200 WETH були переведені на вказану адресу та розпаковані в ETH. Основний контракт MakerDAO працює за задумом, вразливість полягає в тому, що третій робот не має обмежень на функцію виходу.

Цей контент надано лише для загальних інформаційних цілей і не є фінансовою, інвестиційною, юридичною чи податковою консультацією. Події, нагороди, онлайн-акцій або пов’язану інформацію, згадана тут, не слід розглядати як рекомендацію, прохання чи запрошення до купівлі, продажу, торгівлі чи інших операцій з криптоактивами. Криптоактиви є дуже волатильними та можуть призвести до збитків. Доступність послуг, продуктів WEEX та пов’язаних із ними подій може відрізнятися залежно від регіону. Ви несете відповідальність за забезпечення відповідності вашої участі чинному місцевому законодавству та нормативним актам.