Un attaquant a exploité un module personnalisé connecté à un portefeuille Safe Ethereum dans le but d'extraire environ 7,7 millions de dollars en rsETH, avant que les fonds ne soient interceptés par un bot MEV avant que l'exploitant puisse en prendre le contrôle.

Selon la société de sécurité blockchain Blockaid, l'attaquant a utilisé un keeper multicall public pour diriger un module de liquidité Uniswap v4 personnalisé vers un pool à hook créé par l'attaquant, où l'aEthrsETH a été déballé en rsETH. Blockaid a identifié le portefeuille affecté comme un Safe appartenant à un utilisateur non identifié et a indiqué qu'environ 7,73 millions de dollars en rsETH avaient été perdus au moment de son premier rapport. (Source : Blockaid)

L'attaque a ensuite été prise de vitesse par un bot MEV connu sous le nom de Yoink, un programme automatisé qui surveille les transactions blockchain à la recherche d'opportunités rentables. Yoink a saisi le rsETH avant l'exploitant d'origine, et les données d'Etherscan montrent que le bot a transféré environ 18,93 ETH, d'une valeur d'environ 46 000 dollars, à une adresse étiquetée comme un constructeur de blocs dans la même transaction. (Etherscan) Cet épisode souligne que le produit d'une exploitation n'est pas garanti d'atteindre l'attaquant : des bots scrutant la même opportunité on-chain peuvent agir en premier.

Le MEV, ou valeur extractible maximale (maximal extractable value), désigne le profit pouvant être capturé en réordonnant, en insérant ou en censurant des transactions au sein d'un bloc blockchain. Les bots recherchant de telles opportunités surveillent les transactions en attente et se disputent pour placer leurs propres transactions avant celles censées déplacer des fonds, payant souvent les constructeurs de blocs pour un placement favorable — la dynamique illustrée par le transfert de Yoink vers l'adresse étiquetée comme constructeur de blocs.

Kelp, le protocole à l'origine du rsETH, a ensuite placé l'adresse ayant reçu les fonds sous une pause de 24 heures, empêchant temporairement le transfert des jetons. « Il s'agit uniquement d'une mesure de précaution, au niveau du portefeuille », a déclaré Kelp. « Les contrats de Kelp sont sûrs, le rsETH reste entièrement adossé. » (Source : KelpDAO)

Le protocole indiqué que la frappe, les retraits et les intégrations se poursuivaient normalement tandis qu'il travaillait avec des experts en sécurité pour enquêter sur l'incident. Le vecteur d'attaque apparent impliquait le module personnalisé connecté au Safe de la victime, tandis que Kelp a affirmé que ses propres contrats n'étaient pas affectés. La pause de transfert devant expirer après 24 heures, les conclusions de la revue de sécurité et tout commentaire supplémentaire de Blockaid ou de Kelp constituent les éléments immédiats à surveiller.

Safe est l'une des plateformes de portefeuilles à contrats intelligents les plus utilisées d'Ethereum, et le rsETH est le jeton de restaking liquide de Kelp. Les modules sont des contrats qu'un Safe peut activer pour exécuter des transactions avec l'autorité du portefeuille, une capacité qui fait des modules attachés à un portefeuille une partie sensible de sa configuration de sécurité.

Cointelegraph a contacté Blockaid et Kelp pour obtenir des commentaires supplémentaires, sans avoir reçu de réponse au moment de la publication.

Source : Cointelegraph