某休眠第三方 MakerDAO 清算機器人代理遭提取 200 枚 WETH，損失約 53.8 萬美元

Foresight News 消息，據 Defimon Alerts 監測，某由 Tornado Cash 注資的新地址於 10 月 6 日提取了某休眠 MakerDAO ETH-A 清算機器人代理中的 200 枚 WETH，損失約 53.8 萬美元。該可升級代理曾在 2020 年贏得四場 ETH-A 清算拍賣（第 1457 至 1460 號，各 50 枚 WETH），但未調用 deal（），抵押品留在 Flipper 中。

實現合約的提取函數未受 ds-auth 保護，任意調用者都可觸發：先對上述舊拍賣調用 deal（），再經 Vat.flux 將抵押品划到 keeper，隨後 GemJoin.exit 把 200 枚 WETH 轉到調用者指定地址並解包為 ETH。MakerDAO 核心合約按設計運行，漏洞在於第三方機器人未加權限的退出函數。