Coinbase、0xProject swapperの oversight に起因するMEVボット攻撃で30万ドルの損失

Coinbaseは、0xProject swapperスマートコントラクトとのやり取りにより、MEVボットに30万ドルの累積手数料を奪われました。匿名のセキュリティ研究者deebeezはXでこれを明らかにし、取引所がswapperを誤って使用したと指摘しました。

Deebeezによると、スワップの実行に使用できる0xProject契約はパーミッションレス（許可不要）です。これは、誰でも制限なく任意のアクションを実行できることを意味します。

この理由により、トークンの承認を受けるには適していません。しかし、Coinbaseはこのことを認識していなかったようで、DEXTools、Swell Network、MyOneProtocol、Amp、Data Lake、Ondo Finance、Destra Networkなどのプロトコルのトークンに対する承認を開始し、MEVボットが飛び込んで取引所が契約を承認した瞬間にすべての資金を吸い上げることを許しました。

彼は述べた：

「MEVボットが暗闇に潜み、ユーザーがこの契約に誤って承認するのを待っていたようです。そしてその後、すべての資金を吸い上げます。さて、Coinbaseのおかげで彼らの夢が叶いました。」

研究者はこの事件をCoinbaseチームにとって高価な教訓だと説明し、チーム自体もこれを認めています。CoinbaseのチーフセキュリティオフィサーPhilip Martinは事件を確認しつつ、これは社内のDEXウォレットの一つの変更による孤立した問題だと付け加えました。

彼はまた、この事件は顧客の資金に影響を与えておらず、チームは現在「トークンの許可を取り消し、資金を新しい企業用ウォレットに移動している」と付け加えました。

一方、一部のユーザーは、mempoolが暗号化されていればこれを防げたかもしれないと推奨しました。しかし、Deebeezはサンドイッチ攻撃とMEV攻撃は同一ではないと指摘し、mempoolを暗号化するのはサンドイッチ攻撃のみを防ぐだけだと述べました。

事件はCoinbaseへの批判に加わる

当然のことながら、この事件はCoinbaseの批評家にとってもう一つの痛恨事ですが、取引所のユーザーには影響しませんでした。一部の批評家は、数ヶ月前に最大4億ドルの損失をもたらす可能性のあるサイバー攻撃を明らかにしたことを考慮すると、主要取引所からのこのようなミスは懸念されると指摘しています。

一方、X上のユーザーによると、取引所は最近ダウンタイムも経験しており、少なくとも2人がCoinbaseアカウントにアクセスできないことを示すスクリーンショットを共有しました。一部のユーザーは、SolanaのミームコインUSELESSを資産リストのロードマップに追加したことで取引所を批判しています。

それでもなお、Coinbaseは米国最大の取引所であり、CoinGeckoによると市場シェア約5.8%で世界第9位です。これは、他の多くのオフショア取引所がより多くの取引量を見ている中でも、5.1%のCrypto.comを上回るものです。

セキュリティアナリストがコンポーザビリティのリスクを特定

一方、これは0xウォレットから資金が吸い上げられた初めての事件ではありません。4月には、Zoraのclaim契約も、airdropを通じてZORAトークンを0x settler契約に割り当てた後に影響を受けました。

エアドロップの直後、攻撃者はアドレスから資金を吸い上げ、割り当てを12万8000ドル相当のETHにスワップしました。セキュリティ調査企業のBlockAidは、この事件をコンポーザビリティ攻撃（Composability Attack）と特定しました。同社によると、これは独立して安全なコンポーネントが相互作用することで脆弱な状態を作り出す、新しいクラスのオンチェーンリスクです。

同社は次のように述べています：

「コンポーザビリティ攻撃は、2つ以上の独立して安全なシステムが予期せぬ方法で相互作用し、システム自体に脆弱性を必要とせずに悪用可能な状態を作り出す場合に発生します。」

この場合、それはZoraのエアドロップclaimメカニズムと0x Settler契約でした。Zoraのメカニズムは、受取人がclaim関数を通じてトークンをclaimできるようにしました。アドレスが資格を有する限り、外部所有アカウント（EOA）とスマートコントラクトの区別はありませんでした。

これにより、資格のある誰でもエアドロップをclaimできるようになりましたが、0x Settler契約のアドレスもトークンを取得できることを意味しました。Zoraが誤って0xエコシステム向けのトークンを契約に送信すると、相互作用を理解していた誰でもトークンをclaimするのは容易でした。