📅 في 6 أكتوبر، تعرّض وكيل روبوت تصفية MakerDAO لهجوم، وخسر 200 WETH (نحو 538 ألف دولار).
موّل Tornado Cash عنوان المهاجم، الذي سحب الأموال من وكيل روبوت تصفية ETH-A في MakerDAO كان خاملاً. وكان الوكيل قد فاز عام 2020 بأربعة مزادات لتصفية ETH-A (50 WETH لكل مزاد)، لكن الضمانات بقيت فيه بسبب عدم استدعاء deal().
الثغرة: لم تكن دالة السحب محمية بصلاحيات ds-auth، فتمكن المهاجم من تحويل الأموال إلى الخارج باستخدام deal() وVat.flux وGemJoin.exit. عملت عقود MakerDAO الأساسية بشكل طبيعي؛ وكانت المشكلة في دالة الخروج لدى روبوت تابع لجهة خارجية، لم تُضبط عليها ضوابط الصلاحيات.
#MakerDAO #DeFi #الأمن
موّل Tornado Cash عنوان المهاجم، الذي سحب الأموال من وكيل روبوت تصفية ETH-A في MakerDAO كان خاملاً. وكان الوكيل قد فاز عام 2020 بأربعة مزادات لتصفية ETH-A (50 WETH لكل مزاد)، لكن الضمانات بقيت فيه بسبب عدم استدعاء deal().
الثغرة: لم تكن دالة السحب محمية بصلاحيات ds-auth، فتمكن المهاجم من تحويل الأموال إلى الخارج باستخدام deal() وVat.flux وGemJoin.exit. عملت عقود MakerDAO الأساسية بشكل طبيعي؛ وكانت المشكلة في دالة الخروج لدى روبوت تابع لجهة خارجية، لم تُضبط عليها ضوابط الصلاحيات.
#MakerDAO #DeFi #الأمن