Coinbase 在 MEV 机器人攻击中损失 30 万美元，与 0xProject 交换器监管疏忽有关

Coinbase 在与 0xProject 交换器智能合约交互后，向 MEV 机器人损失了 30 万美元的累积费用。匿名安全研究员 deebeez 在 X 上披露了这一点，指出该交易所错误地使用了交换器。

根据 Deebeez 的说法，0xProject 合约可用于执行交换，它是无需许可的。这意味着任何人都可以在没有限制的情况下使用它来执行任何操作。

因此，它不适合接收代币批准。然而，Coinbase 似乎对此不知情，因为它启动了 DEXTools、Swell Network、MyOneProtocol、Amp、Data Lake、Ondo Finance 和 Destra Network 等协议代币的批准，允许 MEV 机器人 swoop in 并在交易所批准合约后耗尽所有资金。

他 表示：

“似乎有一个 MEV 机器人在黑暗中潜伏，等待用户错误地批准此合约——然后耗尽他们所有的资金。好吧，他们的梦想成真了，多亏了 Coinbase。”

该研究员将这一事件描述为 Coinbase 团队昂贵的一课，团队自己也承认了这一点。Coinbase 首席安全官 Philip Martin 确认了这一事件，同时补充说，由于对其一家企业 DEX 钱包的更改，这是一个孤立的问题。

他补充说，该事件未影响任何客户资金，团队现在“撤销代币授权并将资金转移到新的企业钱包”。

与此同时，一些用户建议，如果 mempool 被加密，这本来是可以防止的。然而，Deebeez 指出，三明治攻击与 MEV 攻击并不相同，加密 mempool 只会防止三明治攻击。

事件加剧了对 Coinbase 的批评

毫不奇怪，这一事件代表了 Coinbase 批评者的另一个痛点，尽管它并未影响交易所用户。一些批评者指出，这种来自主要交易所的错误令人担忧，特别是考虑到它在几个月前披露了一起可能导致高达 4 亿美元损失的网络攻击。

与此同时，根据 X 上的用户说法，该交易所最近也经历了停机，至少两人分享了显示他们无法访问其 Coinbase 账户的截图。一些用户批评该交易所在其资产上市路线图中添加了 Solana 模因币 USELESS。

尽管如此，Coinbase 仍然是美国最大的交易所，根据 CoinGecko 的数据，全球排名第九，市场份额约为 5.8%。这使其高于市场份额为 5.1% 的 Crypto.com，尽管其他几家离岸交易所继续看到更多的交易量。

安全分析师识别出可组合性风险

与此同时，这已经不是第一次从 0x 钱包中盗取资金了。4 月，Zora 的 claim 合约也受到影响，因为它通过airdrop 将 ZORA 代币分配给了 0x settler 合约。

空投后不久，攻击者盗取了该地址并将分配兑换为价值 128,000 美元的 ETH。安全研究公司 BlockAid 将这一事件确定为可组合性攻击。据该公司称，这是一种新型链上风险，其中独立安全的组件在交互时可能创建易受攻击的条件。

其表示：

“当两个或多个独立安全的系统以意外方式交互并创建可利用条件时，就会发生可组合性攻击，而无需系统本身存在任何漏洞。”

在这种情况下，涉及的是 Zora 空投领取机制和 0x Settler 合约。Zora 的机制允许接收者通过领取函数领取代币。只要地址符合资格，它并不区分外部拥有账户（EOA）和智能合约。

虽然这允许任何符合资格的人领取空投，但也意味着 0x Settler 合约地址也可以获得代币。一旦 Zora 错误地将本应发送给 0x 生态系统的代币发送给了该合约，任何了解该交互的人都可以轻松领取这些代币。