El intercambio de criptomonedas Coinbase confirmó el miércoles que perdió aproximadamente $300,000 en tarifas de tokens después de que bots de trading automatizado explotaran una interacción mal configurada entre una de sus billeteras corporativas y el protocolo de intercambio descentralizado 0x. El incidente ocurrió cuando Coinbase otorgó por error permisos de gasto al contrato "swapper" de 0x, lo cual permitió a los bots de valor extraíble máximo drenar fondos inmediatamente al detectar la aprobación.
Qué saber:
- Coinbase perdió $300,000 cuando los bots MEV explotaron una billetera corporativa mal configurada que aprobó incorrectamente tokens al contrato swapper de 0x.
- El jefe de seguridad del intercambio confirmó que no se vieron afectados fondos de clientes y lo describió como un incidente aislado.
- Los bots MEV esperaron a que la billetera otorgara derechos de gasto al contrato expuesto antes de ejecutar un drenaje instantáneo.
Descomposición Técnica del Explot
Philip Martin, jefe de seguridad de Coinbase, reconoció la pérdida mediante un post en X, describiéndolo como "un problema aislado" debido a cambios realizados en una de las billeteras de intercambio descentralizado corporativo de la empresa. Enfatizó que los fondos de los clientes permanecieron intactos durante todo el incidente.
El investigador de seguridad "deeberiroz" de Venn Network identificó el explot el miércoles por la mañana. El investigador explicó que Coinbase aprobó incorrectamente tokens al contrato swapper, una herramienta sin permisos diseñada para ejecutar operaciones pero no para mantener asignaciones de tokens. Este error de configuración creó una oportunidad para los bots MEV oportunistas que monitorean constantemente las redes blockchain en busca de tales vulnerabilidades.
MEV, abreviatura de "valor extraíble máximo", describe la práctica donde programas automatizados adelantan o reordenan transacciones de blockchain para capturar ganancias. En este caso, los bots ejecutaron transferencias de tokens antes de que Coinbase pudiera revocar los permisos inadvertidos que había otorgado.
El investigador señaló en X que los bots MEV parecían haber estado "acechando en la oscuridad, esperando que los usuarios aprobaran erróneamente este contrato". Cuando Coinbase cometió el error de aprobación, estos bots capitalizaron inmediatamente la oportunidad, drenando la cuenta receptora de tarifas del intercambio de tokens acumulados.
Implicaciones más amplias para la seguridad del intercambio
La naturaleza sin permisos del contrato swapper de 0x permitió a cualquier parte llamarlo y transferir tokens aprobados directamente a sus propias direcciones. Esta característica de diseño, mientras que facilita el comercio descentralizado, también creó la vulnerabilidad que los bots MEV explotaron contra la billetera de Coinbase.
Aunque la pérdida de $300,000 representa un impacto financiero mínimo para Coinbase, el incidente destaca cómo los grandes intercambios de criptomonedas siguen siendo susceptibles a explotaciones sofisticadas de trading automatizado.
Incluso las plataformas bien establecidas pueden ser víctimas de formas pequeñas pero técnicamente avanzadas de manipulación de blockchain.
Los bots MEV se han establecido como actores persistentes en Ethereum y otras redes blockchain. Generan ganancias explotando lanzamientos de tokens, eventos de acuñación de NFT y actividades de provisión de liquidez mediante la monitorización de mempool y la capacidad de reordenamiento de transacciones.
Comprendiendo MEV y terminología DeFi
MEV se refiere al beneficio máximo que los validadores de blockchain u operadores de bots pueden extraer al incluir, excluir o reordenar transacciones dentro de los bloques que producen. Originalmente llamado "valor extraíble por minero" en redes de prueba de trabajo, el término evolucionó a "valor extraíble máximo" a medida que los mecanismos de consenso de blockchain se diversificaron.
El protocolo 0x opera como una infraestructura de intercambio descentralizado que permite el comercio de criptomonedas entre pares sin intermediarios centralizados. Sus contratos swapper facilitan el intercambio de tokens pero requieren una gestión cuidadosa de los permisos para evitar el acceso no autorizado a los fondos de los usuarios.
Las cuentas receptoras de tarifas, como la que operaba Coinbase, recogen tarifas de transacción y otros ingresos de operaciones de intercambio. Estas billeteras a menudo acumulan balances significativos de tokens, lo que las hace objetivos atractivos para bots explotadores cuando fallan las configuraciones de seguridad.
En este caso, los bots simplemente monitorearon billeteras de alto valor para que otorgaran erróneamente derechos de gasto a contratos expuestos. Una vez que el receptor de tarifas de Coinbase cometió este error, los sistemas automatizados ejecutaron el drenaje de fondos instantáneamente, demostrando la velocidad y eficiencia de las operaciones modernas de MEV.
Pensamientos finales
El incidente de Coinbase subraya las complejidades técnicas que enfrentan los intercambios al integrarse con protocolos financieros descentralizados. Aunque el impacto financiero fue limitado y no se comprometieron fondos de clientes, el explot revela cómo los bots automatizados escanean continuamente en busca de errores de configuración para capitalizar incluso en breves ventanas de oportunidad.