📅 Pada 6 Oktober, agen bot likuidasi MakerDAO diserang dan kehilangan 200 WETH (sekitar $538.000).
Penyerang mendanai alamatnya melalui Tornado Cash, lalu menarik dana dari agen bot likuidasi ETH-A MakerDAO yang sudah lama tidak aktif. Pada 2020, agen tersebut memenangkan 4 lelang likuidasi ETH-A (masing-masing 50 WETH), tetapi agunan tetap tersimpan karena deal() tidak dipanggil.
Kerentanan: fungsi penarikan tidak dilindungi oleh kontrol akses ds-auth. Penyerang menggunakan deal(), Vat.flux, dan GemJoin.exit untuk memindahkan dana. Kontrak inti MakerDAO berfungsi normal; masalahnya ada pada fungsi keluar bot pihak ketiga yang tidak dilengkapi kontrol akses.
#MakerDAO #DeFi #Keamanan
Penyerang mendanai alamatnya melalui Tornado Cash, lalu menarik dana dari agen bot likuidasi ETH-A MakerDAO yang sudah lama tidak aktif. Pada 2020, agen tersebut memenangkan 4 lelang likuidasi ETH-A (masing-masing 50 WETH), tetapi agunan tetap tersimpan karena deal() tidak dipanggil.
Kerentanan: fungsi penarikan tidak dilindungi oleh kontrol akses ds-auth. Penyerang menggunakan deal(), Vat.flux, dan GemJoin.exit untuk memindahkan dana. Kontrak inti MakerDAO berfungsi normal; masalahnya ada pada fungsi keluar bot pihak ketiga yang tidak dilengkapi kontrol akses.
#MakerDAO #DeFi #Keamanan