MakerDaoBot 因访问控制缺失被利用，200 枚 ETH 遭提走损失约 54.2 万美元

2026 年 10 月 6 日，Ethereum 上 MakerDAO 旧版清算 bot MakerDaoBot 遭攻击。其 0x8804d1de() 函数缺少访问控制，任意调用者可传入外部合约 adapter，诱使 bot 调用 hope() 授予该 adapter 操作 bot Vat 余额的权限，并立即执行 adapter 的 join()。攻击者部署恶意 adapter，利用授权结算 ETH-A Flipper 编号 1457、1458、1459、1460 的四场旧拍卖，将 200 单位 ETH-A 抵押品从 bot 转出，经 ETH Join exit() 获得 200 枚 WETH，再解包为 ETH 转入攻击者 EOA。此次损失约 200 枚 ETH，价值约 54.2 万美元。根因是 MakerDaoBot 缺少访问控制，而非 Vat 权限系统缺陷；能授予资产控制权的函数应同时校验调用者与权限接收合约。