Coinbase subisce una perdita di $300K in un attacco di bot MEV legato a una negligenza nello swapper di 0xProject

Coinbase ha perso $300.000 in commissioni accumulate a causa di un bot MEV dopo aver interagito con il contratto intelligente dello swapper di 0xProject. Il ricercatore di sicurezza pseudonimo deebeez ha divulgato la notizia su X, notando che lo scambio ha utilizzato lo swapper in modo errato.

Secondo Deebeez, il contratto di 0xProject, che può essere utilizzato per eseguire swap, è permissionless (senza permessi). Questo significa che chiunque può utilizzarlo per eseguire qualsiasi azione senza restrizioni.

Per questo motivo, non è adatto a ricevere approvazioni per i token. Tuttavia, Coinbase sembra non esserne stata consapevole, poiché ha avviato approvazioni per i token di protocolli come DEXTools, Swell Network, MyOneProtocol, Amp, Data Lake, Ondo Finance e Destra Network, permettendo a un bot MEV di intervenire e svuotare tutti i fondi una volta che lo scambio ha approvato il contratto.

Lui ha detto:

“Sembra che ci sia stato un bot MEV che si nascondeva nell'ombra, in attesa che gli utenti approvassero erroneamente questo contratto – e poi drenassero tutti i loro fondi. Beh, il loro sogno si è avverato grazie a Coinbase.”

Il ricercatore ha descritto l'incidente come una lezione costosa per il team di Coinbase, un fatto che lo stesso team ha anche riconosciuto. Il chief security officer di Coinbase, Philip Martin, ha confermato l'incidente aggiungendo che si tratta di un problema isolato dovuto a modifiche a uno dei wallet DEX aziendali.

Ha aggiunto che l'incidente non ha interessato i fondi dei clienti, con il team ora “che revoca le autorizzazioni ai token e sposta i fondi in un nuovo wallet aziendale.”

Nel frattempo, alcuni utenti hanno consigliato che questo avrebbe potuto essere evitato se la mempool fosse stata crittografata. Tuttavia, Deebeez ha notato che gli sandwich attack non sono identici agli attacchi MEV, e la crittografia della mempool impedirà solo gli sandwich attack.

L'incidente si aggiunge alle critiche contro Coinbase

Non sorprende che l'incidente rappresenti un altro punto dolente per i critici di Coinbase, sebbene non abbia impattato gli utenti dello scambio. Alcuni critici hanno notato che questo tipo di errore da parte di un grande exchange è preoccupante, specialmente considerando che ha divulgato un attacco informatico che potrebbe costare fino a $400 milioni alcuni mesi fa.

Nel frattempo, secondo gli utenti su X, lo scambio ha anche recentemente sperimentato un'interruzione del servizio, con almeno due persone che hanno condiviso screenshot mostrando di non poter accedere ai propri account Coinbase. Alcuni utenti hanno criticato lo scambio per aver aggiunto la memecoin Solana USELESS alla roadmap di listing degli asset.

Tuttavia, Coinbase rimane il più grande exchange negli Stati Uniti e si classifica al nono posto a livello globale con circa il 5,8% di quota di mercato secondo CoinGecko. Questo la colloca sopra Crypto.com con il 5,1%, anche se diversi altri exchange offshore continuano a registrare volumi maggiori.

Gli analisti della sicurezza identificano rischi di composabilità

Nel frattempo, questa non è la prima volta che i fondi vengono drenati dal wallet 0x. Ad aprile, il contratto di claim di Zora è stato interessato dopo aver assegnato token ZORA al contratto settler 0x tramite un airdrop.

Poco dopo l'airdrop, un attaccante ha drenato l'indirizzo e ha scambiato l'allocazione per $128.000 in ETH. La società di ricerca sulla sicurezza BlockAid ha identificato l'incidente come un Attacco di Composabilità. Secondo la società, questa è una nuova classe di rischio on-chain in cui componenti indipendentemente sicuri possono creare condizioni vulnerabili quando interagiscono.

Ha dichiarato:

“Un Attacco di Composabilità si verifica quando due o più sistemi indipendentemente sicuri interagiscono in modo inaspettato creando una condizione sfruttabile, senza richiedere alcuna vulnerabilità nei sistemi stessi.”

In questo caso, si trattava del meccanismo di claim dell'airdrop di Zora e del contratto Settler di 0x. Il meccanismo di Zora permetteva ai destinatari di reclamare i token attraverso la funzione di claim. Non faceva distinzione tra account esternamente posseduti (EOA) e contratti intelligenti, purché l'indirizzo fosse eleggibile.

Mentre questo permetteva a chiunque fosse eleggibile di reclamare l'airdrop, significava che l'indirizzo del contratto Settler di 0x poteva anche ricevere i token. Una volta che Zora ha inviato erroneamente i token destinati all'ecosistema 0x al contratto, è stato facile per chiunque comprendesse l'interazione reclamare i token.