休眠 MakerDAO 清算机器人代理被提取 200 枚 WETH

Odaily星球日报讯，一个由 Tornado Cash 注资的新地址于 10 月 6 日提取了某休眠 MakerDAO ETH-A 清算机器人代理中的 200 枚 WETH，造成约 53.8 万美元损失。

该可升级代理曾于 2020 年赢得 4 场 ETH-A 清算拍卖，即第 1457 号至第 1460 号拍卖，每场获得 50 枚 WETH，但一直未调用 deal()，相关抵押品因此留在 Flipper 中。

提取过程涉及旧拍卖与退出函数

根据披露，实现合约中的提取函数未受 ds-auth 保护，任意调用者都可以触发这一路径：先对上述旧拍卖调用 deal()，再通过 Vat.flux 将抵押品划转至 keeper，随后调用 GemJoin.exit 将 200 枚 WETH 转入调用者指定地址，并解包为 ETH。

问题出在第三方机器人权限控制

报道指出，MakerDAO 核心合约此次属于按设计运行，问题出在第三方清算机器人，其退出函数未设置权限控制。