L'exchange di criptovalute Coinbase ha confermato mercoledì di aver perso circa 300.000 $ in commissioni sui token dopo che i bot di trading automatizzato hanno sfruttato una configurazione errata tra uno dei suoi portafogli aziendali e il protocollo di exchange decentralizzato 0x. L'incidente si è verificato quando Coinbase ha erroneamente concesso autorizzazioni di spesa al contratto "swapper" di 0x, consentendo ai bot di valore massimo estraibile di svuotare i fondi immediatamente dopo aver rilevato l'approvazione.
Cosa sapere:
- Coinbase ha perso 300.000 $ quando i bot MEV hanno sfruttato un portafoglio aziendale configurato erroneamente che ha approvato i token in modo errato al contratto swapper di 0x
- Il direttore della sicurezza dell'exchange ha confermato che nessun fondo dei clienti è stato coinvolto e ha definito l'incidente come isolato
- I bot MEV hanno aspettato che il portafoglio concedesse i diritti di spesa al contratto esposto prima di eseguire uno svuotamento istantaneo
Dettagli tecnici dell'exploit
Philip Martin, direttore della sicurezza di Coinbase, ha riconosciuto la perdita tramite un post su X, descrivendola come "un problema isolato" derivante da modifiche a uno dei portafogli aziendali per exchange decentralizzati della compagnia. Ha sottolineato che i fondi dei clienti sono rimasti intatti durante tutto l'incidente.
Il ricercatore di sicurezza "deeberiroz" di Venn Network ha identificato l'exploit mercoledì mattina. Il ricercatore ha spiegato che Coinbase aveva approvato erroneamente i token al contratto swapper, uno strumento senza autorizzazioni progettato per eseguire scambi ma non destinato a mantenere autorizzazioni sui token. Questo errore di configurazione ha creato un'opportunità per i bot MEV opportunisti che monitorano costantemente le reti blockchain per tali vulnerabilità.
MEV, abbreviazione di "maximal extractable value", descrive la pratica in cui programmi automatizzati anticipano o riordinano le transazioni blockchain per catturare profitti. In questo caso, i bot hanno eseguito trasferimenti di token prima che Coinbase potesse revocare le autorizzazioni involontarie che aveva concesso.
Il ricercatore ha notato su X che i bot MEV sembravano essere "in agguato nell'ombra, aspettando che gli utenti approvino erroneamente a questo contratto." Quando Coinbase ha commesso l'errore di approvazione, questi bot hanno immediatamente capitalizzato l'opportunità, svuotando il conto del ricevitore delle commissioni dell'exchange dai token accumulati.
Implicazioni più ampie per la sicurezza degli exchange
La natura senza autorizzazioni del contratto swapper di 0x ha permesso a qualsiasi parte di chiamarlo e trasferire token approvati direttamente ai propri indirizzi. Questa caratteristica progettuale, pur abilitando il trading decentralizzato, ha anche creato la vulnerabilità che i bot MEV hanno sfruttato contro il portafoglio di Coinbase.
Sebbene la perdita di 300.000 $ rappresenti un impatto finanziario minimo per Coinbase, l'incidente sottolinea come i principali exchange di criptovalute rimangono suscettibili a sofisticati exploit di trading automatizzato.
Anche le piattaforme ben consolidate possono cadere vittime di forme di manipolazione blockchain relativamente piccole ma tecnicamente avanzate.
I bot MEV si sono stabiliti come attori persistenti sulle reti Ethereum e altre reti blockchain. Generano profitti sfruttando i lanci di token, gli eventi di minting di NFT e le attività di fornitura di liquidità attraverso il monitoraggio delle mempool e le capacità di riordinamento delle transazioni.
Comprendere MEV e la terminologia DeFi
MEV si riferisce al massimo profitto che i validatori di blockchain o gli operatori di bot possono estrarre includendo, escludendo o riordinando le transazioni all'interno dei blocchi che producono. Originariamente chiamato "miner extractable value" sulle reti proof-of-work, il termine è evoluto in "maximal extractable value" man mano che i meccanismi di consenso blockchain si sono diversificati.
Il protocollo 0x opera come un'infrastruttura di exchange decentralizzato che consente il trading di criptovalute peer-to-peer senza intermediari centralizzati. I suoi contratti swapper facilitano gli scambi di token ma richiedono una gestione attenta delle autorizzazioni per prevenire accessi non autorizzati ai fondi degli utenti.
I conti riceventi di commissioni, come quello operato da Coinbase, raccolgono commissioni di transazione e altri ricavi dalle operazioni dell'exchange. Questi portafogli spesso accumulano saldi di token significativi, rendendoli obiettivi attraenti per i bot sfruttatori quando le configurazioni di sicurezza falliscono.
In questo caso, i bot hanno semplicemente monitorato i portafogli di alto valore per concedere erroneamente i diritti di spesa ai contratti esposti. Una volta che il ricevitore delle commissioni di Coinbase ha commesso questo errore, i sistemi automatizzati hanno eseguito lo svuotamento dei fondi istantaneamente, dimostrando la velocità e l'efficienza delle moderne operazioni MEV.
Considerazioni finali
L'incidente di Coinbase sottolinea le complessità tecniche che gli exchange affrontano quando si integrano con i protocolli di finanza decentralizzata. Sebbene l'impatto finanziario sia rimasto limitato e nessun fondo dei clienti sia stato compromesso, l'exploit rivela come i bot automatizzati scansionino continuamente gli errori di configurazione per capitalizzare anche brevi finestre di opportunità.