Ein Angreifer nutzte ein benutzerdefiniertes Modul an einer Ethereum-Safe-Wallet aus, um rund 7,7 Millionen US-Dollar in rsETH abzuziehen, doch die Gelder wurden von einem MEV-Bot abgefangen, bevor der Angreifer die Kontrolle darüber erlangen konnte.

Nach Angaben der Blockchain-Sicherheitsfirma Blockaid nutzte der Angreifer einen öffentlichen Keeper-Multicall, um ein benutzerdefiniertes Uniswap-v4-Liquiditätsmodul in einen von ihm erstellten Hooked Pool zu lenken, in dem aEthrsETH in rsETH entpackt wurde. Blockaid identifizierte die betroffene Wallet als eine Safe eines nicht identifizierten Nutzers und erklärte, zum Zeitpunkt seines ersten Berichts seien etwa 7,73 Millionen US-Dollar in rsETH verloren gegangen. (Quelle: Blockaid)

Der Angriff wurde anschließend von einem MEV-Bot namens Yoink überholt, einem automatisierten Programm, das Blockchain-Transaktionen auf profitable Gelegenheiten überwacht. Yoink sicherte sich das rsETH vor dem ursprünglichen Angreifer, und Etherscan-Daten zeigen, dass der Bot im selben Transaktionsblock etwa 18,93 ETH im Wert von rund 46.000 US-Dollar an eine Adresse überwies, die als Block Builder gekennzeichnet ist. (Etherscan) Der Vorfall zeigt, dass die Beute eines Exploits nicht zwangsläufig beim Angreifer ankommt: Bots, die dieselbe On-Chain-Gelegenheit, können schneller handeln.

MEV, also maximal extractable value, bezeichnet Gewinn, der durch Umordnen, Einfügen oder Zensieren von Transaktionen innerhalb eines Blockchain-Blocks erzielt werden kann. Bots, die solchen Gelegenheiten nachgehen, überwachen ausstehende Transaktionen und konkurrieren darum, ihre eigenen Transaktionen vor solchen zu platzieren, von denen erwartet wird, dass sie Gelder bewegen – oft zahlen sie Block Buildern für eine günstige Platzierung, wie die Überweisung von Yoink an die als Builder gekennzeichnete Adresse zeigt.

Kelp, das Protokoll hinter rsETH, verhängte anschließend über die Adresse, die die Gelder erhalten hatte, eine 24-stündige Pause und verhinderte damit vorübergehend die Übertragung der Token. „Dies ist ausschließlich eine vorsorgliche Maßnahme auf Wallet-Ebene“, erklärte Kelp. „Die Kelp-Verträge sind sicher, rsETH bleibt vollständig hinterlegt.“ (Quelle: KelpDAO)

Das Protokoll teilte mit, Minting, Abhebungen und Integrationen liefen normal weiter, während es gemeinsam mit Sicherheitsexperten den Vorfall untersucht. Der mutmaßliche Angriffsvektor betraf das benutzerdefinierte Modul an der Safe des Opfers, während Kelp erklärte, seine eigenen Verträge seien nicht betroffen. Da die Transferpause nach 24 Stunden ausläuft, sind die Ergebnisse der Sicherheitsprüfung sowie etwaige weitere Stellungnahmen von Blockaid oder Kelp die unmittelbar zu beobachtenden Punkte.

Safe ist eine der am weitesten verbreiteten Smart-Contract-Wallet-Plattformen auf Ethereum, und rsETH ist Kelps Liquid-Restaking-Token. Module sind Verträge, die eine Safe aktivieren kann, um Transaktionen mit der Befugnis der Wallet auszuführen – eine Fähigkeit, die die an eine Wallet angehängten Module zu einem sicherheitskritischen Bestandteil ihres Sicherheitsaufbaus macht.

Cointelegraph hat Blockaid und Kelp um eine Stellungnahme gebeten, bis zur Veröffentlichung jedoch keine Antwort erhalten.

Quelle: Cointelegraph