Coinbase erleidet 300.000-Dollar-Verlust bei MEV-Bot-Angriff, der mit der Überwachung des 0xProject-Swappers zusammenhängt

Coinbase hat 300.000 US-Dollar an angesammelten Gebühren an einen MEV-Bot verloren, nachdem es mit dem 0xProject-Swapper-Smart-Contract interagiert hatte. Der pseudonyme Sicherheitsforscher deebeez gab dies auf X bekannt und stellte fest, dass die Börse den Swapper falsch verwendet hatte.

Laut Deebeez ist der 0xProject-Vertrag, der zur Ausführung von Swaps verwendet werden kann, permissionless (ohne Berechtigungsbeschränkungen). Das bedeutet, dass jeder ihn verwenden kann, um jede Aktion ohne Einschränkungen auszuführen.

Aus diesem Grund ist es nicht geeignet, Token-Billigungen zu empfangen. Allerdings scheint Coinbase dies nicht gewusst zu haben, da es Billigungen für Tokens von Protokollen wie DEXTools, Swell Network, MyOneProtocol, Amp, Data Lake, Ondo Finance und Destra Network initiierte, wodurch ein MEV-Bot zuschlagen und alle Mittel abfließen konnte, sobald die Börse den Vertrag genehmigte.

Er sagte:

„Es scheint, als hätte ein MEV-Bot im Dunkeln gelauert und darauf gewartet, dass Nutzer versehentlich diesen Vertrag billigen – und dann all ihre Mittel abfließen lassen. Nun, ihr Traum ist dank Coinbase wahr geworden.“

Der Forscher beschrieb den Vorfall als teure Lektion für das Coinbase-Team, eine Tatsache, die das Team selbst auch anerkannt hat. Philip Martin, Chief Security Officer von Coinbase, bestätigte den Vorfall und fügte hinzu, dass es sich um ein isoliertes Problem handelt, das auf Änderungen an einem ihrer Corporate-DEX-Wallets zurückzuführen ist.

Er fügte hinzu, dass der Vorfall keine Kundengelder betroffen habe, wobei das Team nun „Token-Billigungen widerruft und Mittel in eine neue Corporate-Wallet verschiebt.“

Inzwischen empfahlen einige Nutzer, dass dies hätte verhindert werden können, wenn der Mempool verschlüsselt gewesen wäre. Deebeez bemerkte jedoch, dass Sandwich-Angriffe nicht identisch mit MEV-Angriffen sind und das Verschlüsseln des Mempools nur Sandwich-Angriffe verhindern würde.

Vorfall verstärkt Kritik an Coinbase

Unüberraschenderweise stellt der Vorfall einen weiteren Kritikpunkt für Coinbase-Kritiker dar, obwohl er die Nutzer der Börse nicht beeinflusste. Einige Kritiker bemerkten, dass eine solche Fehler einer großen Börse besorgniserregend ist, insbesondere da sie vor einigen Monaten einen Cyberangriff bekannt gab, der bis zu 400 Millionen US-Dollar kosten könnte.

Laut Nutzern auf X hatte die Börse zudem kürzlich Ausfallzeiten erlebt, wobei mindestens zwei Personen Screenshots teilten, die zeigten, dass sie nicht auf ihre Coinbase-Konten zugreifen konnten. Einige Nutzer kritisierten die Börse dafür, den Solana-Meme-Coin USELESS in ihre Roadmap für Asset-Listings aufgenommen zu haben.

Trotzdem bleibt Coinbase die größte Börse in den USA und rangiert weltweit an neunter Stelle mit einem Marktanteil von rund 5,8 % laut CoinGecko. Dies setzt sie über Crypto.com mit 5,1 %, auch wenn mehrere andere Offshore-Börsen weiterhin mehr Volumen verzeichnen.

Sicherheitsanalysten identifizieren Risiken durch Komposabilität

Inzwischen ist dies nicht das erste Mal, dass Mittel aus der 0x-Wallet abgeflossen sind. Im April wurde auch der Claim-Vertrag von Zora betroffen, nachdem er ZORA-Tokens über einen Airdrop dem 0x-Settler-Vertrag zuordnete.

Kurz nach dem Airdrop räumte ein Angreifer die Adresse und tauschte die Zuteilung gegen 128.000 US-Dollar im Wert von ETH. Das Sicherheitsforschungsunternehmen BlockAid identifizierte den Vorfall als einen Komposabilitätsangriff. Laut dem Unternehmen handelt es sich dabei um eine neue Klasse von On-Chain-Risiken, bei denen unabhängig sichere Komponenten bei Interaktionen verwundbare Bedingungen erzeugen können.

Es heißt:

„Ein Komposabilitätsangriff tritt auf, wenn zwei oder mehr unabhängig sichere Systeme auf unerwartete Weise interagieren und eine ausnutzbare Bedingung erzeugen, ohne dass dafür Schwachstellen in den Systemen selbst erforderlich sind.“

In diesem Fall waren dies der Zora-Airdrop-Claim-Mechanismus und der 0x-Settler-Vertrag. Der Zora-Mechanismus ermöglichte es Empfängern, Tokens über die Claim-Funktion zu beanspruchen. Es wurde kein Unterschied zwischen extern besitzenden Konten (EOA) und Smart Contracts gemacht, solange die Adresse berechtigt war.

Während dies jedem Berechtigten ermöglichte, den Airdrop zu beanspruchen, bedeutete dies auch, dass die Adresse des 0x-Settler-Vertrags die Tokens erhalten konnte. Sobald Zora versehentlich die für das 0x-Ökosystem bestimmten Tokens an den Vertrag sendete, war es für jeden, der die Interaktion verstand, einfach, die Tokens zu beanspruchen.