Coinbase perd 300 000 $ dans une exploitation MEV après une erreur avec le contrat Swapper 0x.

La plateforme d’échange Crypto Coinbase a perdu environ 300 000 $ en frais de jetons après qu’une interaction mal configurée avec le protocole d’échange décentralisé 0x et le contrat “swapper” a permis aux bots MEV de siphonner des fonds de l’un de ses portefeuilles d’entreprise.

Le directeur de la sécurité de Coinbase, Philip Martin, a confirmé l’incident et l’a qualifié de “problème isolé” lié à un changement dans l’un des portefeuilles DEX d’entreprise de la plateforme d’échange. Il a souligné qu’aucun fonds de clients n’avait été affecté, selon un post sur X.

Le chercheur en sécurité “deeberiroz” de Venn Network a d’abord signalé l’exploitation mercredi, en disant que Coinbase avait approuvé par erreur des jetons au contrat de swap — un outil sans permission conçu pour exécuter des échanges mais non destiné à détenir des allocations de jetons.

Cette configuration a ouvert la voie à des bots MEV opportunistes, qui ont immédiatement vidé le portefeuille une fois les approbations activées.

MEV, ou “valeur maximale extrayable”, fait référence à la pratique de l’exécution anticipée ou du réordonnement des transactions sur la blockchain pour capturer des profits, ou dans ce cas, exécuter des transferts avant que Coinbase ne puisse révoquer l’accès.

“Il semble qu’il y ait eu un bot MEV rôdant dans l’ombre, attendant que les utilisateurs approuvent par erreur ce contrat - puis drainent tous leurs fonds,” a écrit le chercheur sur X. “Eh bien, leur rêve est devenu réalité grâce à Coinbase… Ils ont fait une tuerie en drainant le compte de réception des frais de Coinbase de tous les tokens qu’ils ont rassemblés.”

Parce que le contrat peut être accessible par n’importe qui, les bots ont pu l’appeler ( un terme logiciel demandant des services à un autre programme ) pour transférer directement les jetons approuvés vers leurs propres adresses.

Bien que 300 000 $ soit négligeable pour Coinbase, la faille montre comment même les plateformes d’échange leaders sont vulnérables à des formes d’exploitation du trading automatisé petites mais sophistiquées.

Les bots MEV sont depuis longtemps une caractéristique des écosystèmes Ethereum et d’autres blockchains, tirant profit des lancements de tokens, des minting de NFTs et des événements de liquidité en exploitant la visibilité du memepool et le réarrangement des transactions.

Dans ce cas, les bots ont simplement attendu qu’un portefeuille de grande valeur — comme celui du récepteur de frais de Coinbase — accorde par erreur des droits de dépense à un contrat exposé, puis ont exécuté le drain instantanément.

Voir les commentaires