Un bot MEV noto come Yoink ha front-rannato un exploit rsETH segnalato su Ethereum il 15 settembre 2026, prelevando quasi 2.900 rsETH del valore di circa 7,8 milioni di dollari prima che la transazione di attacco originale potesse eseguirsi, secondo i dati on-chain e i ricercatori di sicurezza.

Punti chiave

• Il bot MEV Yoink ha front-rannato un exploit rsETH segnalato, assicurandosi la posizione zero nel blocco 25980525 di Ethereum il 15 settembre 2026.
• I record di Etherscan mostrano che il bot ha prelevato 2.899,99 rsETH (7.476.833,83 dollari) da Aave, per poi inoltrare 2.882,37 rsETH (7.431.373,16 dollari) a un indirizzo esterno.
• L'identità del proprietario del wallet Safe e il controllore finale dell'indirizzo ricevente restano non confermati da alcuna dichiarazione di prima parte.

rsETH è un token di liquid restaking emesso su Ethereum, che rappresenta posizioni di ETH in staking che generano rendimento aggiuntivo tramite protocolli di restaking. Il MEV, acronimo di maximal extractable value, indica il profitto ottenuto riordinando, inserendo o censurando transazioni all'interno di un blocco. La sua profonda integrazione con mercati di prestito come Aave fa sì che posizioni di grandi dimensioni possano essere prelevate o liquidate tramite chiamate a smart contract, creando una superficie di attacco che i bot MEV monitorano attivamente nella mempool pubblica.

Prima attribuzione pubblica

La società di sicurezza PeckShield è stata tra le prime a caratterizzare pubblicamente l'evento, descrivendolo come un front-run di un exploit rsETH di circa 7,81 milioni di dollari su Ethereum.

#PeckShieldAlert MEV bot yoink front-runs a ~$7.81M $rsETH exploit on Ethereum pic.twitter.com/vAJwsCOfsQ

— PeckShieldAlert (@PeckShieldAlert) September 15, 2026

Fonte: @PeckShieldAlert su X

La sequenza delle transazioni

Secondo i record di Etherscan per il blocco 25980525, la transazione di Yoink è stata eseguita alle 04:38:47 UTC del 15 settembre 2026. Il bot ha prelevato 2.899,999999999997756819 rsETH, valutati 7.476.833,83 dollari al momento dell'esecuzione, da Aave.

Yoink ha quindi inoltrato 2.882,37 rsETH, del valore di 7.431.373,16 dollari, all'indirizzo 0xC70f00CD7E461686b04B0E912E309becA8b80ea0. L'identità e il controllore finale di quell'indirizzo ricevente non sono stati accertati dalle prove disponibili.

The Defiant ha riportato che Yoink e la transazione di attacco originale sono finite nello stesso blocco di Ethereum, con Yoink in posizione zero e la transazione dell'attaccante originale fallita. Ottenere la posizione zero in un blocco richiede l'invio di una transazione con una priority fee più alta o l'uso di un relay privato, una tecnica comune tra gli operatori MEV professionisti.

Cosa resta non confermato

La società di sicurezza Blockaid ha dichiarato che il suo sistema di rilevamento exploit ha segnalato un exploit sul wallet Safe di un utente non identificato su Ethereum, riportando circa 7,73 milioni di dollari di perdite confermate in rsETH. Blockaid non ha reso pubblico il nome del proprietario del Safe.

Diversi rapporti secondari hanno attribuito il Safe interessato a Kelp DAO e hanno affermato che il protocollo ha congelato i fondi correlati. Nessuna dichiarazione di prima parte di Kelp DAO, Safe, Aave o del proprietario del wallet è stata verificata dalle prove disponibili. Tali affermazioni devono essere considerate non confermate.

Cosa significa l'exploit rsETH per utenti e protocolli DeFi

Rischio di esecuzione nelle mempool pubbliche

L'incidente illustra una tensione strutturale nella mempool pubblica di Ethereum: qualsiasi transazione trasmessa senza infrastrutture di relay privato è visibile ai bot MEV prima dell'inclusione. Negli incidenti di sicurezza DeFi, questo taglia in entrambe le direzioni. Un bot che front-ranna un exploit può impedire a un attaccante designato di catturare i fondi, ma il bot stesso trattiene i proventi invece di restituirli alla parte interessata. I precedenti sono misti: in exploit DeFi precedenti, i bot MEV che hanno front-rannato gli attaccanti in alcuni casi hanno successivamente restituito i fondi catturati, e in questo caso non è stato annunciato alcun passo del genere.

L'esito in questo caso, in cui circa 7,4 milioni di dollari sono stati spostati verso un indirizzo di proprietà sconosciuta, rispecchia gli schemi visti in precedenti incidenti DeFi. Un precedente exploit su un bridge DeFi coinvolgente token BTC contraffatti aveva dimostrato in modo simile come flussi di token non autorizzati possano propagarsi a cascata attraverso livelli di protocollo interconnessi prima che qualsiasi risposta umana sia possibile.

Lezioni di sicurezza per i protocolli

L'uso di un wallet multisig Safe come apparente vittima è notevole. Safe è ampiamente adottato da DAO e partecipanti DeFi istituzionali proprio perché richiede più firmatari. Un exploit che colpisce un Safe suggerisce una chiave di firmatario compromessa, una transazione dannosa approvata a quorum o una vulnerabilità di un modulo, piuttosto che una semplice compromissione di una chiave privata.

Il ruolo di Aave come strato di liquidità da cui è stato prelevato l'rsETH evidenzia il rischio cumulativo dell'uso di token di liquid restaking come garanzia nei mercati di prestito. Posizioni di dimensioni tali da produrre 7,4 milioni di dollari in un singolo prelievo sono intrinsecamente bersagli MEV attraenti, indipendentemente dal fatto che la transazione scatenante sia un exploit o una liquidazione di routine. I team di protocollo che valutano rischi di garanzia simili su altre catene affrontano un'esposizione di mempool paragonabile.

I limiti dell'attribuzione on-chain

Al momento della pubblicazione, Ethereum veniva scambiato a 2.412,37 dollari, in rialzo dello 0,14% in 24 ore, con l'indice di sentiment del mercato crypto più ampio registrato a 51 (Neutrale). Il contesto macro non ha amplificato l'impatto immediato dell'incidente sui prezzi di rsETH o ETH.

I dati on-chain possono confermare cosa si è mosso, quando e verso quali indirizzi, ma non possono confermare l'intento, l'attribuzione al protocollo o il recupero dei fondi senza una divulgazione off-chain. Qualsiasi ulteriore movimento dell'rsETH inoltrato sarebbe visibile sui block explorer pubblici, ma attribuire nomi o responsabilità a tali trasferimenti richiederebbe comunque una dichiarazione di prima parte. Finché il proprietario del Safe, Kelp DAO se coinvolto, o il controllore dell'indirizzo ricevente non emetteranno una dichiarazione, la destinazione finale dei circa 7,4 milioni di dollari in rsETH resta una questione aperta per l'ecosistema DeFi di Ethereum.

---

Disclaimer: Questo articolo ha scopo puramente informativo e non costituisce consulenza finanziaria o di investimento. I mercati delle criptovalute e degli asset digitali comportano rischi significativi. Effettua sempre le tue ricerche prima di prendere decisioni.

Fonte: AI Crypto Core