Giełda kryptowalutowa Coinbase potwierdziła w środę, że straciła około 300 000 USD na opłatach tokenowych, gdy zautomatyzowane boty handlowe wykorzystały błędnie skonfigurowane połączenie między jednym z jej portfeli firmowych a zdecentralizowanym protokołem wymiany 0x. Incydent wystąpił, gdy Coinbase błędnie przyznał uprawnienia do wydawania kontraktowi „swappera” 0x, co pozwoliło botom maksymalnej wartości wyciągalnej na natychmiastowe wyssanie środków po wykryciu zgody.
Co należy wiedzieć:
- Coinbase stracił 300 000 USD, gdy boty MEV wykorzystały błędnie skonfigurowany portfel firmowy, który błędnie zatwierdził tokeny dla kontraktu swappera 0x
- Główny oficer ds. bezpieczeństwa wymiany potwierdził, że żadne fundusze klientów nie zostały naruszone i nazwał to odosobnionym przypadkiem
- Boty MEV czekały, aż portfel przyzna prawa wydawania wystawionego kontraktu przed wykonaniem natychmiastowego osuszenia
Techniczne rozbicie exploitu
Philip Martin, główny oficer ds. bezpieczeństwa Coinbase, przyznał się do straty za pomocą wpisu na X, opisując to jako „odosobniony problem” wynikający ze zmian wprowadzonych w jednym z portfeli zdecentralizowanej wymiany firmowej. Podkreślił, że fundusze klientów pozostały nietknięte w trakcie całego incydentu.
Badacz bezpieczeństwa „deeberiroz” z Venn Network jako pierwszy zidentyfikował eksploatację w środę rano. Badacz wyjaśnił, że Coinbase błędnie zatwierdził tokeny dla kontraktu swappera, co jest bez zezwolenia narzędziem zaprojektowanym do wykonywania transakcji, ale nie do przechowywania uprawnień tokenowych. Ten błąd konfiguracji stworzył otwarcie dla oportunistycznych botów MEV, które nieustannie monitorują sieci blockchain pod kątem takich luk.
MEV, skrót od „maximal extractable value”, opisuje praktykę, w której zautomatyzowane programy przodują lub przeprowadzają transakcje na blockchainie w celu uzyskania zysków. W tym przypadku boty wykonały transfery tokenów, zanim Coinbase zdołał odwołać niezamierzone pozwolenia, jakie przyznał.
Badacz zauważył na X, że boty MEV pojawiały się „szczególnie czekając, aż użytkownicy błędnie zatwierdzą różne kontrakty”. Gdy Coinbase popełnił błąd akceptacji, te boty natychmiast skorzystały z okazji, osuszając konto odbiorców opłat giełdy z nagromadzonych tokenów.
Szersze implikacje dla bezpieczeństwa giełdowego
Bezzwrotna natura kontraktu swappera 0x umożliwiła każdej stronie wywołanie go i przekazanie zaakceptowanych tokenów bezpośrednio na własne adresy. Ta cecha projektowa, umożliwiająca zdecentralizowany handel, również stworzyła lukę, którą boty MEV wykorzystały przeciwko portfelowi Coinbase.
Chociaż strata 300 000 USD stanowi minimalny wpływ finansowy dla Coinbase, incydent podkreśla, w jaki sposób duże giełdy kryptowalutowe nadal są podatne na zaawansowane technicznie formy manipulacji blockchainem.
Nawet dobrze ugruntowane platformy mogą paść ofiarą stosunkowo niewielkich, ale zaawansowanych technicznie form manipulacji blockchainem.
Boty MEV ustanowiły się jako uporczywi aktorzy w sieciach Ethereum i innych sieciach blockchain. Generują zyski, wykorzystując uruchomienia tokenów, wydarzenia wybijania NFT i działania związane z udostępnianiem płynności poprzez monitorowanie mempool i możliwości zmiany kolejności transakcji.
Zrozumienie MEV i terminologii DeFi
MEV odnosi się do maksymalnych zysków, jakie walidatorzy blockchain lub operatorzy botów mogą wyciągnąć, włączając, wykluczając lub zmieniając kolejność transakcji w blokach, które produkują. Początkowo nazywany „miner extractable value” w sieciach proof-of-work, termin ewoluował do „maximal extractable value” w miarę jak mechanizmy konsensusu blockchainu się różnicują.
Protokół 0x działa jako zdecentralizowana infrastruktura wymiany, która umożliwia peer-to-peer handel kryptowalutą bez centralnych pośredników. Jego kontrakty swapper ułatwiają wymiany tokenów, ale wymagają ostrożnego zarządzania uprawnieniami w celu zapobiegania nieautoryzowanemu dostępowi do funduszy użytkowników.
Konta odbiorców opłat, takie jak to obsługiwane przez Coinbase, zbierają opłaty transakcyjne i inne wpływy z operacji wymiany. Te portfele często gromadzą znaczące salda tokenów, co czyni je atrakcyjnymi celami dla eksploatujących botów, gdy konfiguracje bezpieczeństwa zawodzą.
W tym przypadku boty po prostu monitorowały portfele o wysokiej wartości, aby błędnie przyznały prawa wydawania wystawionym kontraktom. Gdy odbiorca opłat Coinbase popełnił ten błąd, zautomatyzowane systemy natychmiast wykonały osuszenie funduszy, demonstrując szybkość i wydajność nowoczesnych operacji MEV.
Podsumowując
Incydent Coinbase uwydatnia techniczne złożoności, przed jakimi stoją giełdy przy integracji z protokołami zdecentralizowanych finansów. Chociaż wpływ finansowy pozostał ograniczony, a fundusze klientów nie zostały naruszone, exploit ujawnia, jak zautomatyzowane boty nieustannie szukają błędów konfiguracji, aby wykorzystać nawet krótkie okna możliwości.