2026年10月6日，以太坊上 MakerDAO 旧版清算 bot MakerDaoBot 遭攻击，损失约 200 枚 ETH，价值约 54.2 万美元。根因是 MakerDaoBot 的 0x8804d1de() 函数缺少访问控制，任意调用者均可传入外部合约地址。该函数会先为传入合约授予 Vat 权限，再调用其 join()，导致恶意合约可在授权有效期内操作 bot 名下 Vat 余额。攻击者借此结算 ETH-A Flipper 编号 1457、1458、1459、1460 的 4 场旧拍卖，将 200 单位 ETH-A 抵押品转出，再经 ETH Join 的 exit() 取得 200 WETH，解包为 ETH 并转给攻击者 EOA。事件并非 Vat 权限系统本身缺陷，而是 MakerDaoBot 特权入口缺少与其它函数一致的 ds-auth 校验。