Tornado Cashから資金を受け取った新しいアドレスが、10月6日、休眠状態にあったMakerDAOのETH-A清算ボットのプロキシから200 WETHを引き出し、約53万8000ドルの損失が発生しました。Foresight Newsによると、アップグレード可能なこのプロキシは2020年にETH-A清算オークションを4回落札しており、番号は1457から1460で、各オークションの落札額は50 WETHでした。しかし、deal()は一度も呼び出されず、担保はFlipperに残されていました。

実装コントラクトの出金関数はds-authで保護されておらず、誰でも呼び出せる状態でした。この処理では、古いオークションに対してdeal()を呼び出し、Vat.fluxを通じて担保をキーパーに移した後、GemJoin.exitを使って呼び出し元が指定したアドレスに200 WETHを送金し、さらにETHにラップ解除していました。MakerDAOのコアコントラクトは設計どおりに動作しており、問題はサードパーティ製ボットの保護されていない出金関数にありました。