Pertukaran mata uang kripto Coinbase mengonfirmasi pada hari Rabu bahwa mereka kehilangan sekitar $300,000 dalam biaya token setelah bot perdagangan otomatis mengeksploitasi interaksi yang salah konfigurasi antara salah satu dompet korporatnya dan protokol pertukaran terdesentralisasi 0x. Insiden terjadi ketika Coinbase secara keliru memberikan izin pengeluaran kepada kontrak "swapper" 0x, yang memungkinkan bot nilai maksimum diekstrak untuk menguras dana segera setelah mendeteksi persetujuan tersebut.
Yang Perlu Diketahui:
- Coinbase kehilangan $300,000 ketika MEV bot mengeksploitasi dompet korporat yang salah konfigurasi yang salah menyetujui token ke kontrak swapper 0x
- Petugas keamanan utama pertukaran mengonfirmasi bahwa tidak ada dana pelanggan yang terpengaruh dan menyebutnya sebagai insiden terisolasi
- MEV bot menunggu dompet memberikan hak pengeluaran kepada kontrak terbuka sebelum mengeksekusi pengurasan instan
Pemecahan Teknis Eksploitasi
Philip Martin, petugas keamanan utama Coinbase, mengakui kerugian tersebut melalui sebuah posting di X, menggambarkannya sebagai "masalah terisolasi" yang berasal dari perubahan yang dibuat pada salah satu dompet pertukaran terdesentralisasi korporat perusahaan. Ia menekankan bahwa dana pelanggan tetap tidak terpengaruh selama insiden itu.
Peneliti keamanan "deeberiroz" dari Venn Network pertama kali mengidentifikasi eksploitasi pada Rabu pagi. Peneliti tersebut menjelaskan bahwa Coinbase telah menyetujui token ke kontrak swapper secara keliru, sebuah alat tanpa izin yang dirancang untuk mengeksekusi perdagangan tetapi tidak dimaksudkan untuk menahan izin token. Kesalahan konfigurasi ini menciptakan peluang bagi bot MEV oportunistik yang terus memantau jaringan blockchain untuk kerentanan semacam itu.
MEV, singkatan dari "nilai maksimum diekstrak," menggambarkan praktik di mana program otomatis menjalankan atau menyusun ulang transaksi blockchain untuk menangkap keuntungan. Dalam kasus ini, bot mengeksekusi transfer token sebelum Coinbase dapat mencabut izin yang keliru mereka berikan.
Peneliti mencatat di X bahwa bot MEV tampaknya telah "menunggu dalam gelap, menunggu pengguna salah menyetujui kontrak ini." Ketika Coinbase melakukan kesalahan persetujuan, bot tersebut segera memanfaatkan kesempatan itu, menguras akun penerima biaya pertukaran dari token yang terakumulasi.
Implikasi Lebih Luas untuk Keamanan Pertukaran
Sifat tanpa izin dari kontrak swapper 0x memungkinkan pihak mana pun memanggilnya dan mentransfer token yang disetujui langsung ke alamat mereka sendiri. Fitur desain ini, sambil memungkinkan perdagangan terdesentralisasi, juga menciptakan kerentanan yang dieksploitasi oleh bot MEV terhadap dompet Coinbase.
Meskipun kerugian $300,000 mewakili dampak keuangan minimal bagi Coinbase, insiden ini menyoroti bagaimana pertukaran mata uang kripto utama tetap rentan terhadap eksploitasi perdagangan otomatis yang canggih.
Bot MEV telah menetapkan diri mereka sebagai pelaku tetap di seluruh jaringan Ethereum dan blockchain lainnya. Mereka menghasilkan keuntungan dengan mengeksploitasi peluncuran token, acara pencetakan NFT, dan kegiatan penyediaan likuiditas melalui pemantauan mempool dan kemampuan penyusunan ulang transaksi.
Memahami MEV dan Istilah DeFi
MEV mengacu pada keuntungan maksimum yang dapat diekstrak oleh validator blockchain atau operator bot dengan menyertakan, mengecualikan, atau menyusun ulang transaksi dalam blok yang mereka hasilkan. Awalnya disebut "nilai diekstraksi oleh penambang" di jaringan proof-of-work, istilah ini berevolusi menjadi "nilai maksimum diekstrak" seiring mekanisme konsensus blockchain yang beragam.
Protokol 0x beroperasi sebagai infrastruktur pertukaran terdesentralisasi yang memungkinkan perdagangan peer-to-peer mata uang kripto tanpa perantara terpusat. Kontrak swappernya memfasilitasi pertukaran token tetapi memerlukan manajemen perizinan yang hati-hati untuk mencegah akses tidak sah ke dana pengguna.
Akun penerima biaya, seperti yang dioperasikan Coinbase, mengumpulkan biaya transaksi dan pendapatan lain dari operasi pertukaran. Dompet ini sering mengumpulkan saldo token yang signifikan, menjadikannya target menarik bagi bot eksploitatif ketika konfigurasi keamanannya gagal.
Dalam kasus ini, bot hanya memantau dompet bernilai tinggi untuk secara keliru memberikan hak pengeluaran kepada kontrak yang terbuka. Setelah penerima biaya Coinbase melakukan kesalahan ini, sistem otomatis tersebut mengeksekusi pengurasan dana secara instan, menunjukkan kecepatan dan efisiensi operasi MEV modern.
Pemikiran Penutup
Insiden Coinbase menggarisbawahi kerumitan teknis yang dihadapi pertukaran ketika mengintegrasikan dengan protokol keuangan terdesentralisasi. Meskipun dampak keuangan tetap terbatas dan tidak ada dana pelanggan yang terkompromikan, eksploitasi ini mengungkapkan bagaimana bot otomatis terus-menerus mencari kesalahan konfigurasi untuk memanfaatkan kesempatan bahkan dalam jendela waktu yang singkat.