Coinbase subit une perte de 300 000 $ lors d'une attaque de bot MEV liée à une négligence du swappeur 0xProject

Coinbase a perdu 300 000 $ de frais accumulés à la suite d'une interaction avec le contrat intelligent de swappeur 0xProject, au profit d'un bot MEV. Le chercheur en sécurité pseudonyme deebeez a révélé cet incident sur X, notant que l'échange avait utilisé le swappeur de manière incorrecte.

Selon Deebeez, le contrat 0xProject, qui peut être utilisé pour exécuter des swaps, est sans permission. Cela signifie que n'importe qui peut l'utiliser pour exécuter n'importe quelle action sans restrictions.

Pour cette raison, il n'est pas adapté à la réception des approbations de tokens. Cependant, Coinbase semble avoir été inconscient de cela, car il a initié des approbations pour les tokens de protocoles tels que DEXTools, Swell Network, MyOneProtocol, Amp, Data Lake, Ondo Finance et Destra Network, permettant à un bot MEV de s'engouffrer et de vider tous les fonds une fois que l'échange a approuvé le contrat.

Il a déclaré :

« Il semble qu'un bot MEV se soit caché dans l'ombre, attendant que les utilisateurs approuvent par erreur ce contrat – pour ensuite drainer tous leurs fonds. Eh bien, leur rêve est devenu réalité grâce à Coinbase. »

Le chercheur a décrit l'incident comme une leçon coûteuse pour l'équipe de Coinbase, un fait que l'équipe elle-même a également reconnu. Le directeur de la sécurité de Coinbase, Philip Martin, a confirmé l'incident tout en ajoutant qu'il s'agit d'un problème isolé dû à des modifications apportées à l'un de ses portefeuilles DEX d'entreprise.

Il a ajouté que l'incident n'a affecté aucun fonds client, l'équipe étant désormais « en train de révoquer les autorisations de tokens et de transférer les fonds vers un nouveau portefeuille d'entreprise. »

Pendant ce temps, certains utilisateurs ont recommandé que cela aurait pu être évité si le mempool avait été chiffré. Cependant, Deebeez a noté que les attaques par sandwich ne sont pas identiques aux attaques MEV, et que le chiffrement du mempool ne préviendrait que les attaques par sandwich.

L'incident s'ajoute aux critiques contre Coinbase

Sans surprise, l'incident représente un autre point sensible pour les critiques de Coinbase, bien qu'il n'ait pas affecté les utilisateurs de l'échange. Certains critiques ont noté que ce genre d'erreur de la part d'un échange majeur est préoccupant, surtout compte tenu du fait qu'il a divulgué une cyberattaque qui pourrait coûter jusqu'à 400 millions de dollars il y a quelques mois.

Pendant ce temps, selon les utilisateurs de X, l'échange a également connu des pannes de service récentes, au moins deux personnes ayant partagé des captures d'écran montrant qu'elles ne pouvaient pas accéder à leurs comptes Coinbase. Certains utilisateurs ont critiqué l'échange pour avoir ajouté le memecoin Solana USELESS à sa feuille de route de liste d'actifs.

Néanmoins, Coinbase reste le plus grand échange aux États-Unis et se classe neuvième au niveau mondial avec environ 5,8 % de parts de marché selon CoinGecko. Cela le place devant Crypto.com, qui détient 5,1 %, même si plusieurs autres échanges offshore continuent d'enregistrer des volumes plus élevés.

Les analystes en sécurité identifient les risques de compositabilité

Pendant ce temps, ce n'est pas la première fois que des fonds sont drainés depuis le portefeuille 0x. En avril, le contrat de réclamation de Zora a également été affecté après avoir attribué des tokens ZORA au contrat de règlement 0x via un airdrop.

Peu après l'airdrop, un attaquant a vidé l'adresse et a échangé l'allocation contre 128 000 $ d'ETH. Le cabinet de recherche en sécurité BlockAid a identifié l'incident comme une Attaque de Compositabilité. Selon le cabinet, il s'agit d'une nouvelle classe de risque on-chain où des composants indépendamment sécurisés peuvent créer des conditions vulnérables lorsqu'ils interagissent.

Il a déclaré :

« Une Attaque de Compositabilité se produit lorsque deux systèmes ou plus, indépendamment sécurisés, interagissent de manière inattendue, créant une condition exploitable, sans qu'aucune vulnérabilité ne soit requise dans les systèmes eux-mêmes. »

Dans ce cas, il s'agissait du mécanisme de réclamation de l'airdrop Zora et du contrat de règlement 0x. Le mécanisme Zora permettait aux destinataires de réclamer des tokens via la fonction de réclamation. Il ne faisait aucune distinction entre les comptes propriétaires externes (EOA) et les contrats intelligents, tant que l'adresse était éligible.

Bien que cela ait permis à toute personne éligible de réclamer l'airdrop, cela signifiait que l'adresse du contrat de règlement 0x pouvait également recevoir les tokens. Une fois que Zora a envoyé par erreur les tokens destinés à l'écosystème 0x au contrat, il était facile pour quiconque comprenant l'interaction de réclamer les tokens.