15 сентября неизвестный атаковал Safe-кошелёк в сети Ethereum и инициировал вывод около 2900 rsETH на сумму примерно $7,73 млн. Эксплойт зафиксировала команда Blockaid. По их данным, транзакция с выводом была перехвачена MEV-ботом Yoink, который провёл собственную операцию раньше злоумышленника и забрал активы.

Что произошло

В результате атаки на неидентифицированный Safe-кошелёк была запущена операция по выводу приблизительно 2900 rsETH. Объём потерь в эквиваленте оценивается в ~$7,73 млн. Личность атакующего не раскрывается.

Как вмешался MEV-бот Yoink

MEV-бот Yoink заметил готовящуюся транзакцию и вставил перед ней собственную, фактически опередив злоумышленника. В результате активы были перемещены ботом до выполнения операции атакующего.

Версия Blockaid о механике атаки

Blockaid описывает цепочку действий как использование public keeper multicall для проталкивания кастомного модуля Safe, связанного с Uniswap v4 LP, в созданный злоумышленником hooked-пул. Задействованный hook выполнял разворачивание (unwrapping) активов. По оценке Blockaid, подтверждённый объём утраченного rsETH на данный момент составляет около $7,73 млн.