Sàn giao dịch tiền điện tử Coinbase xác nhận hôm thứ Tư rằng họ đã mất khoảng $300,000 phí mã thông báo sau khi các bot giao dịch tự động khai thác sự tương tác bị cấu hình sai giữa một trong những ví công ty của họ và giao thức sàn giao dịch phi tập trung 0x. Sự cố xảy ra khi Coinbase vô tình cấp quyền chi tiêu cho hợp đồng "swapper" của 0x, điều này cho phép các bot giá trị có thể trích xuất tối đa rút tiền ngay lập tức khi phát hiện sự chấp thuận.
Những điều cần biết:
- Coinbase đã mất $300,000 khi các bot MEV khai thác một ví công ty bị cấu hình sai, vô tình chấp thuận mã thông báo cho hợp đồng swapper của 0x
- Giám đốc an ninh của sàn giao dịch xác nhận không có quỹ khách hàng bị ảnh hưởng và gọi đây là sự cố riêng lẻ
- Các bot MEV chờ ví cấp quyền chi tiêu cho hợp đồng bị phơi bày trước khi thực hiện việc rút ngay lập tức
Phân tích kỹ thuật về khai thác
Philip Martin, giám đốc an ninh của Coinbase, thừa nhận mất mát thông qua một bài đăng trên X, mô tả đây là "vấn đề riêng lẻ" phát sinh từ những thay đổi được thực hiện đối với một trong những ví công ty của công ty. Ông nhấn mạnh rằng quỹ khách hàng vẫn không bị ảnh hưởng trong suốt sự cố.
Nhà nghiên cứu an ninh "deeberiroz" từ Venn Network là người đầu tiên xác định sự cố này sáng thứ Tư. Nhà nghiên cứu giải thích rằng Coinbase đã vô tình chấp thuận mã thông báo cho hợp đồng swapper, một công cụ không yêu cầu quyền lực được thiết kế để thực hiện giao dịch nhưng không có ý định giữ lại các khoản cho phép mã thông báo. Sai sót cấu hình này tạo cơ hội cho các bot MEV cơ hội, thường xuyên giám sát các mạng blockchain để tìm các lỗ hổng như vậy.
MEV, viết tắt của "giá trị trích xuất tối đa", mô tả hoạt động trong đó các chương trình tự động thực hiện hoặc sắp xếp lại giao dịch blockchain để đạt được lợi nhuận. Trong trường hợp này, các bot đã thực hiện chuyển mã thông báo trước khi Coinbase có thể hủy bỏ các quyền vô tình đã cấp.
Nhà nghiên cứu đã lưu ý trên X rằng các bot MEV dường như đã "ẩn mình trong bóng tối, chờ người dùng vô tình chấp thuận cho hợp đồng này." Khi Coinbase mắc sai lầm chấp thuận, các bot này đã ngay lập tức tận dụng cơ hội, rút cạn tài khoản chứa phí của sàn giao dịch khỏi các mã thông báo tích lũy.
Những ảnh hưởng rộng hơn đối với an ninh sàn giao dịch
Tính không yêu cầu quyền lực của hợp đồng swapper 0x cho phép bất kỳ bên nào cũng có thể gọi và chuyển mã thông báo được chấp thuận trực tiếp đến các địa chỉ của mình. Tính năng thiết kế này, trong khi cho phép giao dịch phi tập trung, cũng tạo ra lỗ hổng mà các bot MEV đã khai thác chống lại ví của Coinbase.
Mặc dù mất $300,000 thể hiện tổn thất tài chính tối thiểu đối với Coinbase, sự cố này nhấn mạnh cách các sàn giao dịch tiền điện tử lớn vẫn dễ bị tổn thương trước các cuộc khai thác tự động phức tạp.
Ngay cả các nền tảng uy tín cũng có thể là nạn nhân của các hình thức thao túng blockchain nhỏ nhưng kỹ thuật phức tạp.
Các bot MEV đã tự khẳng định mình là những đối thủ liên tục trên các mạng Ethereum và blockchain khác. Chúng tạo ra lợi nhuận bằng cách khai thác các đợt phát hành mã thông báo, sự kiện đúc NFT và các hoạt động cung cấp thanh khoản thông qua giám sát mempool và khả năng sắp xếp lại giao dịch.
Hiểu về MEV và Thuật ngữ DeFi
MEV đề cập đến lợi nhuận tối đa mà các người xác thực blockchain hoặc các nhà điều hành bot có thể trích xuất bằng cách bao gồm, loại trừ hoặc sắp xếp lại các giao dịch trong các khối họ tạo ra. Ban đầu được gọi là "giá trị trích xuất bởi thợ đào" trên các mạng bằng chứng công việc, thuật ngữ này đã phát triển thành "giá trị trích xuất tối đa" khi các cơ chế đồng thuận blockchain đa dạng hóa.
Giao thức 0x hoạt động như một cơ sở hạ tầng sàn giao dịch phi tập trung cho phép giao dịch tiền điện tử ngang hàng mà không cần các trung gian tập trung. Các hợp đồng swapper của nó tạo điều kiện cho việc trao đổi mã thông báo nhưng yêu cầu quản lý phép chi cẩn thận để ngăn chặn truy cập trái phép vào quỹ người dùng.
Các tài khoản nhận phí, như tài khoản mà Coinbase vận hành, thu phí giao dịch và các doanh thu khác từ hoạt động sàn giao dịch. Những ví này thường tích lũy số dư mã thông báo đáng kể, khiến chúng trở thành mục tiêu hấp dẫn cho các bot khai thác khi các cấu hình an ninh thất bại.
Trong trường hợp này, các bot chỉ đơn giản giám sát các ví có giá trị cao để vô tình cấp quyền chi tiêu cho các hợp đồng bị phơi bày. Một khi tài khoản nhận phí của Coinbase mắc lỗi này, hệ thống tự động thực hiện việc rút quỹ ngay lập tức, minh chứng cho tốc độ và hiệu quả của các hoạt động MEV hiện đại.
Kết luận
Sự cố của Coinbase nhấn mạnh những phức tạp kỹ thuật mà các sàn giao dịch gặp phải khi tích hợp với các giao thức tài chính phi tập trung. Mặc dù tác động tài chính vẫn còn hạn chế và không có quỹ khách hàng nào bị thiệt hại, cuộc tấn công cho thấy cách các bot tự động liên tục quét tìm lỗi cấu hình để tận dụng ngay cả các cửa sổ cơ hội ngắn ngủi.