Coinbase потеряла около 300 000 долларов США в виде сборов в токенах после ошибочного утверждения активов с интеллектуальным контрактом 0x проекта, что позволило максимально извлеченному стоимости (MEV) бота осушить средства.
Deebeez, исследователь безопасности в Venn Network, отметил инцидент в посте в среду на X. Он объяснил, что корпоративный кошелек Coinbase взаимодействовал с контрактом 0x «Swapper», бесконечным инструментом, предназначенным для выполнения свопов, но не для получения одобрения токенов.
Поскольку любой может позвонить в контракт для выполнения произвольных действий, предоставление разрешений может выявить активы для немедленной кражи. «Известно, что у этого же Swapper были проблемы с претензиями Zora на базе», – написал исследователь, ссылаясь на прошлые случаи, когда настройка позволила злонамеренным участникам извлекать средства без использования уязвимостей кода.
Скриншоты, разделяемые Deebeez, показали, что Coinbase предоставит разрешения на токены, включая AMP, MyoneProtocol, Dextools и Swell Network в среду днем. Вскоре после этого бот MEV назвал контракт Swapper для передачи утвержденных токенов с учетной записи приемника Coinbase в свои адреса.
Связанный: арбитражировки MEV на Ethereum все чаще централизованы
MEV бот скрывается в темноте
Дибиз сказал, что бот MEV, который сливал средства из Coinbase, «скрывался в темноте», ожидая, когда пользователи ошибочно утвердят контракт на истощение всех своих средств. «Их мечта сбылась благодаря Coinbase», – написал исследователь.
Исследователь добавил, что инцидент, который истощил счет для получения приемника Coinbase со всеми его токенами, был «дорогостоящим уроком» для команды.
Руководитель службы безопасности Coinbase Филип Мартин подтвердил этот инцидент, назвав его как «изолированную проблему», связанную с изменением конфигурации в одном из корпоративных кошельков Exchange Dex.
«Никакие средства клиентов не пострадали», – сказал Мартин, добавив, что Coinbase отменила пособия по токенам и перенес оставшиеся средства в новый корпоративный кошелек.
Связанный: криптовалюта MEV Bot запускает бот с криптовалютой для индивидуальных и предприятий -трейдеров
MEV Bot Exploit стоит 180 000 долларов в эфире
В апреле бот MEV потерял около 180 000 долларов в эфире (ETH) после того, как злоумышленник использовал уязвимость в своей системе контроля доступа. По сообщениям, злоумышленник поменял ETH бота на бесполезный токен через вредоносный бассейн, созданный в той же транзакции.
В аналогичном инциденте в 2023 году валидатор мошенничества использовал MEV -ботов, пытавшихся «сэндвич -сделки», красть цифровые активы в размере 25 миллионов долларов, включая WBTC (WBTC), USDC (USDC), USDT (USDT), DAI (DAI) и Weth (WETH).
Термины в новости
- MEV
- Maximal Extractable Value — дополнительный доход валидатора или майнера от выбора и порядка транзакций в блоке.
- Валидатор
- Участник сети на Proof-of-Stake, который создаёт и проверяет блоки, внеся залог в монетах сети.
- Токен
- Цифровой актив, выпущенный поверх существующего блокчейна с помощью смарт-контракта, а не в собственной сети. Например, USDT в сети Ethereum или Tron.
- Транзакция
- Операция в блокчейне: перевод монет или вызов смарт-контракта, подписанный ключом отправителя. Становится необратимой после подтверждения в блоке.
