Coinbase теряет 300 тысяч долларов в результате атаки бота MEV, связанной с упущением в свопере 0xProject

Coinbase потерял 300 000 долларов накопленных комиссий боту MEV после взаимодействия с смарт-контрактом свопера 0xProject. Псевдонимный исследователь безопасности deebeez раскрыл это на X, отметив, что биржа неправильно использовала свопер.

Согласно Deebeez, контракт 0xProject, который можно использовать для выполнения свопов, является permissionless (без разрешений). Это означает, что любой может использовать его для выполнения любого действия без ограничений.

По этой причине он не подходит для получения одобрения токенов. Однако Coinbase, похоже, не знал об этом, так как инициировал одобрения для токенов протоколов, таких как DEXTools, Swell Network, MyOneProtocol, Amp, Data Lake, Ondo Finance и Destra Network, позволив боту MEV ворваться и слить все средства, как только биржа одобрила контракт.

Он сказал:

«Похоже, что бот MEV поджидал в темноте, ожидая, пока пользователи ошибочно одобрят этот контракт, — а затем сольют все их средства. Что ж, их мечта сбылась благодаря Coinbase».

Исследователь описал инцидент как дорогой урок для команды Coinbase, факт, который сама команда также признала. Главный специалист по безопасности Coinbase Филип Мартин подтвердил инцидент, добавив, что это изолированная проблема из-за изменений в одном из ее корпоративных кошельков DEX.

Он добавил, что инцидент не повлиял на средства клиентов, и теперь команда «отзывает разрешения на токены и переводит средства на новый корпоративный кошелек».

Тем временем некоторые пользователи рекомендовали, что это можно было предотвратить, если бы мемпул был зашифрован. Однако Deebeez отметил, что сэндвич-атаки не идентичны атакам MEV, и шифрование мемпула предотвратит только сэндвич-атаки.

Инцидент добавляет критики в адрес Coinbase

Неудивительно, что инцидент стал еще одной болезненной точкой для критиков Coinbase, хотя он не повлиял на пользователей биржи. Некоторые критики отметили, что такая ошибка от крупной биржи вызывает обеспокоенность, особенно учитывая, что она раскрыла информацию о кибератаке, которая могла стоить до 400 миллионов долларов несколько месяцев назад.

Тем временем, согласно пользователям в X, биржа также недавно пережила простой, по крайней мере два человека поделились скриншотами, показывающими, что они не могут получить доступ к своим аккаунтам Coinbase. Некоторые пользователи критиковали биржу за добавление мемкоина USELESS на Solana в дорожную карту листинга активов.

Тем не менее, Coinbase остается крупнейшей биржей в США и занимает девятое место в мире с долей рынка около 5,8% согласно CoinGecko. Это ставит ее выше Crypto.com с 5,1%, хотя несколько других офшорных бирж продолжают видеть больший объем торгов.

Аналитики безопасности выявляют риски композабельности

Тем временем, это не первый раз, когда средства сливаются с кошелька 0x. В апреле контракт претензии Zora также пострадал, когда он назначил токены ZORA контракту сетлера 0x через эйрдроп.

Вскоре после эйрдропа злоумышленник слил адрес и обменял выделение на 128 000 долларов в ETH. Исследовательская фирма в области безопасности BlockAid определила инцидент как Composability Attack (Атаку композабельности). Согласно фирме, это новый класс ончейн-рисков, где независимо безопасные компоненты могут создавать уязвимые условия при взаимодействии.

Они сказали:

«Атака композабельности происходит, когда две или более независимо безопасные системы взаимодействуют неожиданным образом, создавая эксплуатируемое условие, без необходимости наличия каких-либо уязвимостей в самих системах».

В данном случае это был механизм претензии эйрдропа Zora и контракт 0x Settler. Механизм Zora позволял получателям претендовать на токены через функцию claim. Он не делал различий между внешними владеемыми счетами (EOA) и смарт-контрактами, пока адрес был правомерным.

Хотя это позволяло любому правомерному лицу претендовать на эйрдроп, это означало, что адрес контракта 0x Settler также мог получить токены. После того как Zora по ошибке отправила токены, предназначенные для экосистемы 0x, в контракт, любому, кто понимал взаимодействие, было легко претендовать на токены.