Coinbase втратив $300,000 через помилку в налаштуванні контракту, що дозволила ботам MEV викачати кошти з корпоративного гаманця.

КриптобіржаCoinbase втратила приблизно$300,000 у токенах через невірно налаштовану взаємодію з протоколом децентралізованої біржі0x у своєму контракті `swapper`, що дозволило ботамMEV викачати кошти з одного з її корпоративних гаманців.

Головний директор з безпеки CoinbaseФіліп Мартін підтвердив помилку і назвав її `ізольованою проблемою`, яка пов`язана зі зміною в одному з корпоративних DEX-гаманців біржі. Він наголосив, що кошти клієнтів не постраждали, відповідно до посту вX.

Дослідник безпеки“deeberiroz” зVenn Network вперше вказав на експлойт в середу, зазначивши, що Coinbase помилково схвалив токени для контракту swapper — без permission, призначеному для виконання обмінів, але не для зберігання дозволів на токени.

Цей налаштування відкрило двері для спекулятивних ботів MEV, які негайно викачали гаманець, як тільки дозволи стали активними.

MEV, або“максимально вичавлений прибуток”, відноситься до практики попереднього виконання або зміни порядку блокчейн-транзакцій для захоплення прибутків, або в даному випадку, виконання трансакцій до того, як Coinbase зможе відкликати доступ.

“Схоже, що десь у затемненні чаті ховався бот MEV, чекаючи, щоб користувачі помилково схвалили цей контракт — а потім викачали всі свої кошти,” написав дослідник в X. “Ну, їхня мрія здійснилася завдяки Coinbase… Вони нажилися, висмоктавши весь токени з рахунку отримувача комісії Coinbase.”

Схоже, що@coinbase нещодавно був викачаний на суму близько$300,000 після неправильного використання@0xProject swapper.

Вони схвалили всі токени, здобуті як комісії, для свого роутера, який одразу ж був викачаний ботами MEV 🧵

Оскільки контракт може бути доступним для всіх, боти змогли викликати його (програмний термін, що означає запит послуг від іншої програми) для безпосереднього перенесення схвалених токенів у свої адреси.

Хоча$300,000 — це не суттєва сума для Coinbase, витік показує, наскільки навіть провідні біржі вразливі до дрібних, але складних форм автоматизованої торгівлі.

Боти MEV вже давно стали невід’ємною частиноюEthereum та інших блокчейн екосистем, отримуючи прибуток від запусків токенів, випусків NFT та подій ліквідності, викриваючи видимість мемпулу та змінюючи порядок транзакцій.

У даному випадку боти просто чекали, поки високовартісний гаманець — як рахунок отримувача комісії Coinbase — помилково надасть права на витрати для підвищеного контракту, а потім миттєво виконали висмоктування.