Coinbase sofre perda de US$ 300K em ataque de bot MEV ligado à negligência do swapper 0xProject

A Coinbase perdeu US$ 300.000 em taxas acumuladas para um bot MEV após interagir com o contrato inteligente swapper do 0xProject. O pesquisador de segurança pseudônimo deebeez divulgou isso no X, observando que a exchange usou o swapper incorretamente.

De acordo com Deebeez, o contrato do 0xProject, que pode ser usado para executar swaps, é sem permissão. Isso significa que qualquer pessoa pode usá-lo para executar qualquer ação sem restrições.

Devido a esse motivo, não é adequado para receber aprovações de tokens. No entanto, Coinbase parece não estar ciente disso, pois iniciou aprovações para tokens de protocolos como DEXTools, Swell Network, MyOneProtocol, Amp, Data Lake, Ondo Finance e Destra Network, permitindo que um bot MEV entrasse e drenasse todos os fundos assim que a exchange aprovou o contrato.

Ele disse:

“Parece que houve um bot MEV se escondendo nas sombras, esperando que os usuários aprovassem por engano este contrato – e então drenassem todos os seus fundos. Bem, o sonho deles se tornou realidade graças à Coinbase.”

O pesquisador descreveu o incidente como uma lição cara para a equipe da Coinbase, um fato que a própria equipe também reconheceu. O chefe de segurança da Coinbase, Philip Martin, confirmou o incidente, acrescentando que se trata de um problema isolado devido a alterações em uma de suas carteiras corporativas DEX.

Ele acrescentou que o incidente não afetou nenhum fundo de clientes, com a equipe agora “revogando permissões de tokens e movendo fundos para uma nova carteira corporativa”.

Enquanto isso, alguns usuários recomendaram que isso poderia ter sido evitado se o mempool tivesse sido criptografado. No entanto, Deebeez observou que os ataques sandwich não são idênticos aos ataques MEV, e criptografar o mempool apenas impediria ataques sandwich.

Incidente adiciona às críticas contra a Coinbase

Sem surpresa, o incidente representa outro ponto doloroso para os críticos da Coinbase, embora não tenha afetado os usuários da exchange. Alguns críticos observaram que esse tipo de erro de uma grande exchange é preocupante, especialmente considerando que ela divulgou um ataque cibernético que poderia custar até US$ 400 milhões alguns meses atrás.

Enquanto isso, de acordo com usuários no X, a exchange também experimentou recentemente uma queda no serviço, com pelo menos duas pessoas compartilhando capturas de tela mostrando que não podiam acessar suas contas da Coinbase. Alguns usuários criticaram a exchange por adicionar a memecoin Solana USELESS a seu roteiro de listagem de ativos.

No entanto, Coinbase permanece sendo a maior exchange nos EUA e ocupa a nona posição globalmente com cerca de 5,8% da participação de mercado, de acordo com a CoinGecko. Isso a coloca acima da Crypto.com com 5,1%, mesmo que várias outras exchanges offshore continuem vendo mais volume.

Analistas de segurança identificam riscos de composabilidade

Enquanto isso, esta não é a primeira vez que fundos foram drenados da carteira 0x. Em abril, o contrato de reivindicação da Zora também foi afetado após atribuir tokens ZORA ao contrato settler 0x por meio de um airdrop.

Logo após o airdrop, um atacante drenou o endereço e trocou a alocação por US$ 128.000 em ETH. A empresa de pesquisa de segurança BlockAid identificou o incidente como um Ataque de Composabilidade. De acordo com a empresa, esta é uma nova classe de risco on-chain onde componentes independentemente seguros podem criar condições vulneráveis quando interagem.

Ela disse:

“Um Ataque de Composabilidade ocorre quando dois ou mais sistemas independentemente seguros interagem de uma maneira inesperada que cria uma condição explorável, sem exigir nenhuma vulnerabilidade nos próprios sistemas.”

Neste caso, foi o mecanismo de reivindicação do airdrop da Zora e o contrato Settler 0x. O mecanismo da Zora permitia que os destinatários reivindicassem tokens por meio da função de reivindicação. Não fazia distinção entre contas possuídas externamente (EOA) e contratos inteligentes, desde que o endereço fosse elegível.

Embora isso permitisse que qualquer pessoa elegível reivindicasse o airdrop, significava que o endereço do contrato Settler 0x também poderia receber os tokens. Uma vez que a Zora enviou por engano o token destinado ao ecossistema 0x para o contrato, foi fácil para qualquer pessoa que entendesse a interação reivindicar os tokens.