休眠 MakerDAO 清算机器人遭提取 200 枚 WETH

据 Woofun AI 消息，10 月 6 日，一个由 注资的新地址从某休眠的 -A 清算机器人代理中提取了 200 枚 ，造成约 53.8 万美元损失。

该可升级代理曾在 2020 年参与四场 ETH-A 清算拍卖（第 1457 至 1460 号），但未调用 deal 函数，导致抵押品滞留于 合约中。由于实现合约的提取函数缺乏 ds-auth 权限保护，攻击者得以先对旧拍卖调用 deal，再通过 Vat.flux 将抵押品划转至 keeper，最后利用 GemJoin.exit 将 200 枚 WETH 转移至指定地址并解包为 ETH。MakerDAO 核心合约运行正常，漏洞源于第三方机器人未设置权限控制的退出函数。