Криптовалютная биржа Coinbase в среду подтвердила, что потеряла примерно $300,000 в токенных сборах после того, как автоматизированные торговые боты использовали ошибочное взаимодействие между одним из её корпоративных кошельков и децентрализованным обменным протоколом 0x. Инцидент произошёл, когда Coinbase по ошибке предоставила права на траты контракту-свопперу 0x, что позволило ботам максимального извлечения ценности мгновенно обналичить средства, как только они обнаружили одобрение.
Что нужно знать:
- Coinbase потеряла $300,000, когда MEV-боты использовали ошибочную настройку корпоративного кошелька, который неправильно одобрил токены контракту-свопперу 0x
- Главный сотрудник по безопасности биржи подтвердил, что средства клиентов не пострадали и назвал это изолированным инцидентом
- MEV-боты ждали, пока кошелёк предоставит права на траты открытому контракту, прежде чем произвести моментальное обналичивание
Технический анализ эксплойта
Филип Мартин, главный сотрудник по безопасности Coinbase, признал потерю через пост на X, описав её как «изолированную проблему», возникшую из-за изменений, внесённых в один из корпоративных кошельков децентрализованной биржи компании. Он подчеркнул, что средства клиентов остались в безопасности на протяжении инцидента.
Исследователь безопасности «deeberiroz» из Venn Network первым идентифицировал эксплойт в среду утром. Исследователь объяснил, что Coinbase некорректно одобрила токены контракту-свопперу, бесправному инструменту, предназначенному для выполнения торгов, но не предназначенному для удержания разрешений на токены. Эта ошибка в конфигурации создала открытие для оппортунистических MEV-ботов, которые постоянно мониторят блокчейн-сети на предмет таких уязвимостей.
MEV, сокращение от «maximal extractable value», описывает практику, когда автоматизированные программы перестраивают или меняют порядок блокчейн-транзакций для извлечения прибыли. В этом случае боты осуществили токенные переводы до того, как Coinbase смогла отозвать непреднамеренные одобрения, которые она предоставила.
Исследователь отметил в X, что MEV-боты, по-видимому, «скрывались в тени, ожидая, когда пользователи ошибочно одобрят этот контракт». Когда Coinbase совершила ошибку при одобрении, эти боты немедленно воспользовались возможностью, опустошив накопленные токены аккаунта-получателя сборов биржи.
Широкие последствия для безопасности биржи
Бесправная природа контракта-своппера 0x позволила любой стороне вызвать его и перевести одобренные токены непосредственно на свои собственные адреса. Эта конструктивная особенность, в то время как позволяет децентрализованную торговлю, также создала уязвимость, которую MEV-боты использовали против кошелька Coinbase.
Хотя потеря $300,000 имеет минимальное финансовое воздействие для Coinbase, инцидент подчеркивает, как крупные криптовалютные биржи остаются уязвимыми для сложных автоматизированных торговых эксплойтов.
Даже хорошо зарекомендовавшие себя платформы могут стать жертвами относительно небольших, но технически сложных форм блокчейн-манипуляций.
MEV-боты зарекомендовали себя как постоянные участники в сетях Ethereum и других блокчейнах. Они генерируют прибыль, эксплуатируя запуски токенов, мероприятия по чеканке NFT и деятельность по предоставлению ликвидности посредством мониторинга мемпулов и возможностей перестроения транзакций.
Понимание терминологии MEV и DeFi
MEV относится к максимальной прибыли, которую валидаторы блокчейнов или операторы ботов могут извлечь, включая, исключая или изменяя порядок транзакций в блоках, которые они производят. Изначально называемый «miner extractable value» на сетях proof-of-work, термин эволюционировал в «maximal extractable value», поскольку методы консенсуса блокчейнов разнообразились.
Протокол 0x функционирует как инфраструктура децентрализованной биржи, позволяющая p2p-торговлю криптовалютами без централизованных посредников. Её контракты-свопперы облегчают обмен токенами, но требуют осторожного управления разрешениями, чтобы предотвратить несанкционированный доступ к средствам пользователей.
Аккаунты-получатели сборов, такие как тот, что вызывает Coinbase, собирают транзакционные сборы и другие доходы от операция биржи. Эти кошельки часто аккумулируют значительные балансы токенов, делая их привлекательными целями для эксплуатирующих ботов, когда конфигурации безопасности дают сбой.
В этом случае боты просто отслеживали кошельки с высоким значением, чтобы ошибочно предоставить права на траты открытым контрактам. Как только аккаунт-получатель сборов Coinbase допустил эту ошибку, автоматизированные системы немедленно произвели слив средств, демонстрируя скорость и эффективность современных операций MEV.
Заключительные мысли
Инцидент с Coinbase подчеркивает техническую сложность, с которой сталкиваются биржи при интеграции с протоколами децентрализованных финансов. В то время как финансовое воздействие остаётся ограниченным и никакие средства клиентов не были скомпрометированы, эксплойт показывает, как автоматизированные боты продолжают сканировать на предмет ошибок конфигурации, чтобы извлечь выгоду из даже кратковременных окон возможностей.