Coinbase تتعرض لخسارة بقيمة 300 ألف دولار في هجوم روبوت MEV المرتبط بإهمال مبادل 0xProject

خسرت Coinbase 300,000 دولار من الرسوم المتراكمة بسبب روبوت MEV بعد التفاعل مع عقد الذكاء الاصطناعي لمبادل 0xProject. كشف الباحث الأمني المستعار deebeez عن ذلك على X، موضحاً أن البورسة استخدمت المبادل بشكل غير صحيح.

وفقاً لـ Deebeez، فإن عقد 0xProject، الذي يمكن استخدامه لتنفيذ عمليات التبادل، غير مقيد. هذا يعني أن أي شخص يمكنه استخدامه لتنفيذ أي إجراء دون قيود.

بسبب هذا السبب، فهو غير مناسب لتلقي موافقات العملات. ومع ذلك، يبدو أن Coinbase لم يكن على علم بذلك، حيث بدأ موافقات للعملات الخاصة ببروتوكولات مثل DEXTools وSwell Network وMyOneProtocol وAmp وData Lake وOndo Finance وDestra Network، مما مكن روبوت MEV من الانقضاض وتصريف جميع الأموال بمجرد موافقة البورصة على العقد.

هو قال:

«يبدو أن هناك روبوت MEV يتربص في الظلام، منتظراً أن يوافق المستخدمون عن طريق الخطأ على هذا العقد – ثم يصرف جميع أموالهم. حسناً، حلمهم تحقق بفضل coinbase.»

وصف الباحث الحادث بأنه درس مكلف لفريق Coinbase، وهو أمر أدركه الفريق نفسه أيضاً. أكد كبير مسؤولي الأمن في Coinbase فيليب مارتن الحادث مع إضافة أنه قضية معزولة بسبب التغييرات في واحدة من محافظ DEX المؤسسية الخاصة بها.

وأضاف أن الحادث لم يؤثر على أي أموال للعملاء، مع قيام الفريق الآن «بإلغاء مسموحيات العملات ونقل الأموال إلى محفظة مؤسسية جديدة.»

في هذه الأثناء، أوصى بعض المستخدمون بأن كان يمكن منع ذلك إذا تم تشفير الـ mempool. ومع ذلك، لاحظ Deebeez أن هجمات الساندويتش ليست متطابقة مع هجمات MEV، وتشفير الـ mempool سيمنع فقط هجمات الساندويتش.

الحادث يضيف إلى الانتقادات ضد Coinbase

وبطبيعة الحال، يمثل الحادث نقطة ألم أخرى لمنتقدي Coinbase، على الرغم من أنه لم يؤثر على مستخدمي البورصة. لاحظ بعض المنتقدين أن هذا النوع من الأخطاء من بورصة كبرى مقلق، خاصة بالنظر إلى أنها كشفت عن هجوم سيبراني يمكن أن يكلف ما يصل إلى 400 مليون دولار قبل بضعة أشهر.

في هذه الأثناء، وفقاً للمستخدمين على X، كانت البورسة أيضاً قد عانت مؤخراً من انقطاع في الخدمة، حيث شارك شخصان على الأقل لقطات شاشة تظهر أنهم لا يستطيعون الوصول إلى حساباتهم على Coinbase. انتقد بعض المستخدمين البورسة لإضافتها عملة الميم USELESS على Solana إلى خريطة طريق إدراج الأصول الخاصة بها.

ومع ذلك، يظل Coinbase أكبر بورصة في الولايات المتحدة ويحتل المرتبة التاسعة عالمياً بحصة سوقية تبلغ حوالي 5.8% وفقاً لـ CoinGecko. وهذا يضعه فوق Crypto.com مع 5.1% حتى بينما تستمر العديد من البورسات الخارجية الأخرى في رؤية المزيد من الحجم.

محللو الأمان يحددون مخاطر التكوين

في هذه الأثناء، هذه ليست المرة الأولى التي يتم فيها تصريف الأموال من محفظة 0x. في أبريل، تأثر عقد مطالبة Zora أيضاً بعد أن خصص رموز ZORA لعقد مقاول 0x من خلال توزيع مجاني.

بعد وقت قصير من التوزيع المجاني، صرّف المهاجم العنوان وقام بتبادل التخصيص مقابل 128,000 دولار من ETH. حددت شركة أبحاث الأمان BlockAيد الحادث على أنه هجوم قابلية التكوين. وفقاً للشركة، هذه فئة جديدة من مخاطر السلسلة حيث يمكن للمكونات الآمنة بشكل مستقل إنشاء ظروف ضعيفة عندما تتفاعل.

وقالت:

«يحدث هجوم قابلية التكوين عندما يتفاعل نظامان أو أكثر آمنان بشكل مستقل بطريقة غير متوقعة تخلق حالة قابلة للاستغلال، دون الحاجة إلى أي ثغرات في الأنظمة نفسها.»

في هذه الحالة، كان آلية مطالبة توزيع Zora المجاني وعقد مقاول 0x. سمحت آلية Zora للمستلمين بالمطالبة بالعملات من خلال دالة المطالبة. لم تفرق بين الحسابات المملوكة خارجياً (EOA) وعقود الذكاء الاصطناعي طالما أن العنوان مؤهل.

بينما سمح هذا لأي شخص مؤهل بالمطالبة بالتوزيع المجاني، فهذا يعني أن عنوان عقد مقاول 0x يمكنه أيضاً الحصول على العملات. بمجرد أن أرسل Zora عن طريق الخطأ العملة المقصودة لنظام 0x البيئي إلى العقد، كان من السهل على أي شخص يفهم التفاعل المطالبة بالعملات.