A exchange de criptomoedas Coinbase confirmou na quarta-feira que perdeu aproximadamente $300.000 em taxas de token depois que bots de trading automatizado exploraram uma interação mal configurada entre uma de suas carteiras corporativas e o protocolo de exchange descentralizada 0x. O incidente ocorreu quando a Coinbase concedeu permissões de gasto por engano ao contrato "swapper" da 0x, o que permitiu que bots de valor máximo extraível drenassem fundos imediatamente após detectar a aprovação.
O que saber:
- A Coinbase perdeu $300.000 quando bots MEV exploraram uma carteira corporativa mal configurada que aprovou incorretamente tokens para o contrato swapper da 0x
- O diretor de segurança da exchange confirmou que nenhum fundo de cliente foi afetado e chamou isso de incidente isolado
- Bots MEV aguardaram que a carteira concedesse direitos de gasto ao contrato exposto antes de executar uma drenagem instantânea
Análise técnica da exploração
Philip Martin, diretor de segurança da Coinbase, reconheceu a perda através de um post no X, descrevendo-a como "um problema isolado" decorrente de mudanças feitas em uma das carteiras de exchange descentralizada corporativa da empresa. Ele enfatizou que os fundos dos clientes permaneceram inalterados durante todo o incidente.
O pesquisador de segurança "deeberiroz" da rede Venn identificou a exploração na manhã de quarta-feira. O pesquisador explicou que a Coinbase aprovou incorretamente tokens para o contrato swapper, uma ferramenta sem permissão projetada para executar trades, mas não destinada a manter permissões para tokens. Este erro de configuração criou uma oportunidade para bots MEV oportunistas que monitoram constantemente redes blockchain em busca de tais vulnerabilidades.
MEV, abreviação de "valor máximo extraível", descreve a prática onde programas automatizados realizam front-running ou reordenam transações blockchain para capturar lucros. Neste caso, os bots executaram transferências de tokens antes que a Coinbase pudesse revogar as permissões inadvertidas que havia concedido.
O pesquisador observou no X que os bots MEV pareciam estar "espionando nas sombras, esperando que usuários aprovassem erroneamente este contrato." Quando a Coinbase cometeu o erro de aprovação, esses bots imediatamente capitalizaram a oportunidade, drenando a conta receptora de taxas da exchange de tokens acumulados.
Implicações mais amplas para a segurança da exchange
A natureza sem permissão do contrato swapper 0x permitiu que qualquer parte o chamasse e transferisse tokens aprovados diretamente para seus próprios endereços. Esta característica de design, embora permita trading descentralizado, também criou a vulnerabilidade que bots MEV exploraram contra a carteira da Coinbase.
Enquanto a perda de $300.000 representa um impacto financeiro mínimo para a Coinbase, o incidente destaca como grandes exchanges de criptomoedas permanecem suscetíveis a explorações sofisticadas de trading automatizado.
Mesmo plataformas bem estabelecidas podem ser vítimas de formas de manipulação de blockchain relativamente pequenas, mas tecnicamente avançadas.
Bots MEV se estabeleceram como atores persistentes em Ethereum e outras redes blockchain. Eles geram lucros explorando lançamentos de tokens, eventos de cunhagem de NFT e atividades de provisão de liquidez através de monitoramento de mempool e capacidades de reordenação de transações.
Compreendendo MEV e terminologia DeFi
MEV refere-se ao lucro máximo que validadores de blockchain ou operadores de bots podem extrair incluindo, excluindo ou reordenando transações dentro dos blocos que produzem. Originalmente chamado "valor extraível pelo minerador" em redes de prova de trabalho, o termo evoluiu para "valor máximo extraível" à medida que mecanismos de consenso de blockchain se diversificaram.
O protocolo 0x opera como uma infraestrutura de exchange descentralizada que possibilita o trading de criptomoedas entre pares sem intermediários centralizados. Seus contratos swapper facilitam as trocas de tokens, mas exigem uma gestão cuidadosa de permissões para evitar acesso não autorizado a fundos de usuários.
Contas receptores de taxas, como a operada pela Coinbase, coletam taxas de transação e outras receitas das operações da exchange. Essas carteiras frequentemente acumulam saldos significativos de tokens, tornando-se alvos atraentes para bots exploradores quando configurações de segurança falham.
Neste caso, os bots simplesmente monitoraram carteiras de alto valor para conceder direitos de gasto por engano a contratos expostos. Uma vez que o receptor de taxas da Coinbase cometeu este erro, os sistemas automatizados executaram a drenagem dos fundos instantaneamente, demonstrando a rapidez e a eficiência das operações modernas de MEV.
Considerações finais
O incidente da Coinbase destaca as complexidades técnicas que exchanges enfrentam ao integrar com protocolos de finanças descentralizadas. Embora o impacto financeiro tenha permanecido limitado e nenhum fundo de cliente tenha sido comprometido, a exploração revela como bots automatizados escaneiam continuamente erros de configuração para capitalizar até mesmo em breves janelas de oportunidade.