Un atacante explotó un módulo personalizado conectado a una wallet Safe de Ethereum en un intento de extraer aproximadamente $7.7 millones en rsETH, pero los fondos fueron interceptados por un bot MEV antes de que el explotador pudiera tomar el control.

Según la firma de seguridad blockchain Blockaid, el atacante utilizó un multicall de keeper público para dirigir un módulo de liquidez personalizado de Uniswap v4 hacia un pool con hook creado por el atacante, donde aEthrsETH fue convertido en rsETH. Blockaid identificó la wallet afectada como una Safe perteneciente a un usuario no identificado y señaló que unos $7.73 millones en rsETH se habían perdido al momento de su informe inicial. (Fuente: Blockaid)

El ataque fue entonces adelantado por un bot MEV conocido como Yoink, un programa automatizado que monitorea las transacciones de la blockchain en busca de oportunidades rentables. Yoink capturó el rsETH antes que el explotador original, y los datos de Etherscan muestran que el bot transfirió alrededor de 18.93 ETH, con un valor aproximado de $46,000, a una dirección etiquetada como block builder en la misma transacción. (Etherscan) El episodio subraya que los beneficios de un exploit no están garantizados a llegar al atacante: los bots que rastrean la misma oportunidad on-chain pueden actuar primero.

El MEV, o valor extractable máximo, se refiere al beneficio que puede capturarse al reordenar, insertar o censurar transacciones dentro de un bloque de blockchain. Los bots que persiguen este tipo de oportunidades monitorean las transacciones pendientes y compiten por adelantar las suyas sobre las que se espera que muevan fondos, pagando a menudo a los block builders por una posición favorable —la dinámica reflejada en la transferencia de Yoink a la dirección etiquetada como builder.

Kelp, el protocolo detrás de rsETH, posteriormente puso la dirección que recibió los fondos bajo una pausa de 24 horas, impidiendo temporalmente la transferencia de los tokens. "Esta es una medida preventiva únicamente a nivel de wallet", indicó Kelp. "Los contratos de Kelp son seguros, rsETH sigue totalmente respaldado". (Fuente: KelpDAO)

El protocolo que el minting, los retiros y las integraciones continuaban con normalidad mientras trabajaba con expertos en seguridad para investigar el incidente. El aparente vector de ataque involucró el módulo personalizado conectado a la Safe de la víctima, mientras que Kelp señaló que sus propios contratos no fueron afectados. Con la pausa de transferencia programada para expirar tras 24 horas, los hallazgos de la revisión de seguridad y cualquier comentario adicional de Blockaid o Kelp son los puntos inmediatos a seguir.

Safe es una de las plataformas de wallets con contratos inteligentes más utilizadas de Ethereum, y rsETH es el token de liquid restaking de Kelp. Los módulos son contratos que una Safe puede habilitar para ejecutar transacciones con la autoridad de la wallet, una capacidad que hace de los módulos conectados a una wallet una parte sensible de su configuración de seguridad.

Cointelegraph contactó a Blockaid y Kelp para obtener comentarios adicionales, pero no había recibido respuesta al momento de la publicación.

Fuente: Cointelegraph