Die Kryptowährungsbörse Coinbase bestätigte am Mittwoch, dass sie ca. 300.000 $ an Token-Gebühren verloren hat, nachdem automatisierte Handelsbots eine fehlkonfigurierte Interaktion zwischen einer ihrer Unternehmenswallets und dem dezentralisierten Austauschprotokoll 0x ausnutzten. Der Vorfall ereignete sich, als Coinbase versehentlich Ausgabeberechtigungen an 0x's „Swapper“-Vertrag erteilte, wodurch MEV-Bots die Gelder sofort bei der Erkennung der Zustimmung abziehen konnten.
Was man wissen sollte:
- Coinbase verlor 300.000 $, als MEV-Bots eine falsch konfigurierte Unternehmenswallet ausnutzten, die fälschlicherweise Tokens an 0x's Swapper-Vertrag genehmigte
- Der Sicherheitschef der Börse bestätigte, dass keine Kundenmittel betroffen waren und bezeichnete es als einen isolierten Vorfall
- MEV-Bots warteten darauf, dass die Wallet Ausgabeberechtigungen an den exponierten Vertrag erteilt, bevor sie eine sofortige Entnahme ausführten
Technische Aufschlüsselung des Exploits
Philip Martin, Coinbases Sicherheitschef, erkannte den Verlust in einem Beitrag auf X an und beschrieb es als „ein isoliertes Problem“ aufgrund von Änderungen an einer der Unternehmenswallets für dezentrale Börsen. Er betonte, dass Kundenmittel während des gesamten Vorfalls nicht betroffen waren.
Der Sicherheitsforscher „deeberiroz“ von Venn Network entdeckte den Exploit am Mittwochmorgen zuerst. Der Forscher erklärte, dass Coinbase Tokens fälschlicherweise an den Swapper-Vertrag genehmigt hatte, ein erlaubnisloses Werkzeug, das für den Handel gedacht ist, aber nicht dazu, Token-Genehmigungen zu halten. Dieser Konfigurationsfehler schuf eine Lücke für opportunistische MEV-Bots, die ständig Blockchain-Netzwerke auf solche Schwachstellen überwachen.
MEV, kurz für „maximal extrahierbarer Wert“, beschreibt die Praxis, bei der automatisierte Programme Blockchain-Transaktionen vorausahnen oder neu anordnen, um Gewinne zu erzielen. In diesem Fall führten die Bots Token-Übertragungen durch, bevor Coinbase die versehentlich erteilten Genehmigungen widerrufen konnte.
Der Forscher bemerkte auf X, dass MEV-Bots „im Dunkeln zu lauern schienen und darauf warten, dass Benutzer irrtümlich auf diesen Vertrag genehmigen.“ Als Coinbase den Genehmigungsfehler machte, nutzen diese Bots sofort die Gelegenheit und entleerten das Gebührenempfangskonto der Börse von angesammelten Tokens.
Größere Auswirkungen auf die Sicherheit von Börsen
Die erlaubnislose Natur des 0x-Swapper-Vertrags ermöglichte es jedem, ihn aufzurufen und genehmigte Tokens direkt auf ihre eigenen Adressen zu übertragen. Diese Designfunktion, die dezentralisiertes Trading ermöglicht, schuf auch die Schwachstelle, die MEV-Bots gegen Coinbases Wallet ausnutzten.
Obwohl der Verlust von 300.000 $ nur minimale finanzielle Auswirkungen auf Coinbase hat, zeigt der Vorfall, wie große Kryptowährungsbörsen anfällig für ausgeklügelte automatisierte Handelsexploits bleiben.
Auch gut etablierte Plattformen können Opfer relativ kleiner, aber technisch fortschrittlicher Formen der Blockchain-Manipulation werden.
MEV-Bots haben sich als beständige Akteure in Ethereum und anderen Blockchain-Netzwerken etabliert. Sie generieren Gewinne durch die Ausnutzung von Token-Starts, NFT-Prägungen und Liquiditätsbereitstellungsveranstaltungen durch Mempool-Überwachung und Transaktions-Neuordnungsmöglichkeiten.
Verständnis von MEV und DeFi-Terminologie
MEV bezieht sich auf den maximalen Gewinn, den Blockchain-Validatoren oder Bot-Betreiber durch das Einschließen, Ausschließen oder Neuordnen von Transaktionen innerhalb der von ihnen produzierten Blöcke erzielen können. Ursprünglich als „miner extractable value“ in Proof-of-Work-Netzwerken bezeichnet, entwickelte sich der Begriff zu „maximal extractable value“, da sich die Konsensmechanismen der Blockchain diversifizierten.
Das 0x-Protokoll fungiert als dezentrale Börseninfrastruktur, die den Peer-to-Peer-Handel mit Kryptowährungen ohne zentrale Vermittler ermöglicht. Seine Swapper-Verträge erleichtern Token-Austausche, erfordern aber eine sorgfältige Berechtigungsverwaltung, um unbefugten Zugriff auf Benutzerfonds zu verhindern.
Gebührenempfangskonten, wie das von Coinbase betriebene, sammeln Transaktionsgebühren und andere Einnahmen aus Börsenoperationen. Diese Wallets sammeln oft bedeutende Token-Salden, was sie zu attraktiven Zielen für ausbeuterische Bots macht, wenn Sicherheitskonfigurationen versagen.
In diesem Fall überwachten die Bots einfach hochwertige Wallets, um irrtümlich Ausgabeberechtigungen an exponierte Verträge zu gewähren. Sobald Coinbases Gebührenempfänger diesen Fehler machte, führten die automatisierten Systeme die Abfluss der Mittel unverzüglich aus und zeigten so die Geschwindigkeit und Effizienz moderner MEV-Operationen.
Schlussgedanken
Der Coinbase-Vorfall unterstreicht die technischen Komplexitäten, mit denen Börsen konfrontiert sind, wenn sie sich in Protokolle für dezentrale Finanzen integrieren. Obwohl der finanzielle Schaden begrenzt blieb und keine Kundenmittel kompromittiert wurden, zeigt der Exploit, wie automatisierte Bots kontinuierlich nach Konfigurationsfehlern suchen, um selbst kurzfristige Gelegenheitsfenster auszunutzen.