Defimon Alerts：新地址提取休眠 Maker 清算机器人 200 枚 WETH

ChainCatcher 消息，据 Defimon Alerts 监测，一个由 Tornado Cash 注资的新地址于 10 月 6 日提取了某休眠 MakerDAO ETH-A 清算机器人代理中的 200 枚 WETH，损失约 53.8 万美元。

提取涉及 2020 年遗留的 ETH-A 清算拍卖

该可升级代理曾在 2020 年赢得 4 场 ETH-A 清算拍卖，编号分别为 1457 至 1460 号，每场对应 50 枚 WETH。但代理后续未调用 deal()，相关抵押品一直留在 Flipper 中。

未受权限保护的提取函数被触发

实现合约中的提取函数未受 ds-auth 保护，任意调用者都可以触发这一流程：先对上述旧拍卖调用 deal()，再经 Vat.flux 将抵押品划转到 keeper，随后通过 GemJoin.exit 把 200 枚 WETH 转到调用者指定地址，并解包为 ETH。

问题出在第三方机器人合约

Defimon Alerts 指出，MakerDAO 核心合约按设计运行，漏洞出在第三方清算机器人未加权限控制的退出函数。