Рано утром во вторник хакер вывел около $7.8 миллиона в rsETH из кошелька Ethereum Safe, но не успел насладиться добычей — бот, следивший за тем же блоком, обокрал его.
Инцидент произошел в 04:38 UTC и был впервые зафиксирован компанией Blockaid. Хакер переместил примерно 2,900 rsETH из Gnosis Safe, но его действия привлекли внимание бота, известного как Yoink.
Бот Yoink использовал механизм front-running, заплатив около $46,000 строителю блока, чтобы его транзакция была обработана первой. В результате он смог перехватить средства, которые хакер только что украл.
По информации Blockaid, уязвимость не была связана с самим кошельком, а была вызвана «злоупотреблением авторизацией модуля» в Safe. Исследователи из BlockSec, SlowMist и AstraSec подтвердили, что проблема заключалась в Multicall-хелпере, который владелец кошелька одобрил.
Этот хелпер обрабатывал любые вызовы, указывающие на его собственный адрес, как предавторизованные. Это позволило злоумышленнику отправить инструкции через модуль и заставить Safe выполнить их, как если бы они были его собственными.
Хакер использовал специальный модуль ликвидности Uniswap v4, который открыл вход для передачи инструкций, предоставленных злоумышленником, в кошелек. Он направил их на пул, который контролировал, и конвертировал yield-bearing aEthrsETH в обычный rsETH, оставив после себя бесполезные квитанции.
Поскольку транзакция злоумышленника находилась в публичном мемпуле, бот Yoink смог увидеть ее и выполнить свою транзакцию первым в том же блоке, захватив 2,882 rsETH и перенаправив их на новый адрес.
Протокол Kelp DAO заморозил этот адрес в течение двух часов после инцидента. Они сообщили, что «из соображений осторожности» адрес был временно приостановлен на 24 часа, добавив, что rsETH «остается полностью обеспеченным» и что процесс минтинга и выводов не пострадал.
Теперь средства находятся в неопределенности. Возврат средств ботом имеет недавний прецедент: в январе MEV-строитель, захвативший средства из взлома Makina, вернул около 920 из 1,023 эфира, оставив себе 10% вознаграждения.
Источники
Материал носит информационный характер и не является инвестиционной рекомендацией.