Coinbase sufre una pérdida de $300K en un ataque de bot MEV vinculado a una negligencia del swapper de 0xProject

Coinbase ha perdido $300.000 en tarifas acumuladas debido a un bot MEV después de interactuar con el contrato inteligente swapper de 0xProject. El investigador de seguridad seudónimo deebeez reveló esto en X, señalando que el exchange utilizó incorrectamente el swapper.

Según Deebeez, el contrato de 0xProject, que se puede utilizar para ejecutar intercambios, es sin permisos. Esto significa que cualquiera puede usarlo para ejecutar cualquier acción sin restricciones.

Debido a esta razón, no es adecuado para recibir aprobaciones de tokens. Sin embargo, Coinbase parece haber sido inconsciente de esto, ya que inició aprobaciones para tokens de protocolos como DEXTools, Swell Network, MyOneProtocol, Amp, Data Lake, Ondo Finance y Destra Network, permitiendo que un bot MEV se abalanzara y drenara todos los fondos una vez que el exchange aprobó el contrato.

He dijo:

«Parece que ha habido un bot MEV acechando en la oscuridad, esperando a que los usuarios aprobaran por error este contrato – y luego drenaran todos sus fondos. Bueno, su sueño se hizo realidad gracias a Coinbase.»

El investigador describió el incidente como una lección costosa para el equipo de Coinbase, un hecho que el propio equipo también ha reconocido. El jefe de seguridad de Coinbase, Philip Martin, confirmó el incidente, añadiendo que se trata de un problema aislado debido a cambios en una de sus billeteras corporativas DEX.

Añadió que el incidente no afectó a los fondos de ningún cliente, con el equipo ahora «revocando los permisos de tokens y moviendo los fondos a una nueva billetera corporativa».

Mientras tanto, algunos usuarios recomendaron que esto podría haberse evitado si el mempool hubiera estado encriptado. Sin embargo, Deebeez señaló que los ataques sándwich no son idénticos a los ataques MEV, y que encriptar el mempool solo evitará ataques sándwich.

El incidente se suma a las críticas contra Coinbase

No es de extrañar que el incidente represente otro punto doloroso para los críticos de Coinbase, aunque no afectó a los usuarios del exchange. Algunos críticos señalaron que este tipo de error por parte de un exchange importante es preocupante, especialmente considerando que reveló un ciberataque que podría costar hasta $400 millones hace unos meses.

Mientras tanto, según los usuarios en X, el exchange también experimentó recientemente una interrupción del servicio, con al menos dos personas compartiendo capturas de pantalla que mostraban que no podían acceder a sus cuentas de Coinbase. Algunos usuarios han criticado al exchange por añadir la memecoin de Solana USELESS a su hoja de ruta de listados de activos.

No obstante, Coinbase sigue siendo el exchange más grande de EE. UU. y ocupa el noveno lugar a nivel mundial con aproximadamente el 5,8% de la cuota de mercado según CoinGecko. Esto lo sitúa por encima de Crypto.com con el 5,1%, incluso mientras varios otros exchanges offshore continúan viendo más volumen.

Los analistas de seguridad identifican riesgos de composabilidad

Mientras tanto, esta no es la primera vez que los fondos han sido drenados de la billetera 0x. En abril, el contrato de reclamación de Zora también se vio afectado después de asignar tokens ZORA al contrato liquidador 0x a través de un airdrop.

Poco después del airdrop, un atacante drenó la dirección e intercambió la asignación por $128.000 en ETH. La firma de investigación de seguridad BlockAid identificó el incidente como un Ataque de Composabilidad. Según la firma, esta es una nueva clase de riesgo en cadena donde componentes independientes seguros pueden crear condiciones vulnerables cuando interactúan.

Dijo:

«Un Ataque de Composabilidad ocurre cuando dos o más sistemas independientes seguros interactúan de una manera inesperada que crea una condición explotable, sin requerir ninguna vulnerabilidad en los propios sistemas.»

En este caso, fue el mecanismo de reclamación del airdrop de Zora y el contrato 0x Settler. El mecanismo de Zora permitía a los destinatarios reclamar tokens a través de la función de reclamación. No hacía distinción entre cuentas propietas externamente (EOA) y contratos inteligentes siempre que la dirección fuera elegible.

Si bien esto permitía que cualquiera elegible reclamara el airdrop, significaba que la dirección del contrato 0x Settler también podía obtener los tokens. Una vez que Zora envió por error el token destinado al ecosistema 0x al contrato, fue fácil para cualquiera que entendiera la interacción reclamar los tokens.