Was ist passiert?
Laut einem Bericht von The Defiant kam es am Dienstag auf Ethereum zu einem Exploit-Versuch, der auf eine Wallet vom Typ Safe abzielte. Doch bevor der Angreifer die Beute abtransportieren konnte, kam ein sogenannter MEV-Bot mit der Bezeichnung Yoink der Transaktion zuvor.
Die Blockchain-Sicherheitsfirma PeckShield beschrieb das Ereignis als Exploit im liquiden Staking-Token rsETH im Wert von etwa 7,81 Millionen Dollar. Von The Defiant zitierte Onchain-Aufzeichnungen zeigen, dass die Transaktion von Yoink 2.900 rsETH empfing und 2.882,37 rsETH weiterleitete.
Was bedeuten die wichtigsten Begriffe?
Damit diese Episode Sinn ergibt, müssen einige Begriffe geklärt werden:
- MEV (Maximal Extractable Value): der Wert, der sich durch Umsortieren, Einfügen oder Ausschließen von Transaktionen in einem Block gewinnen lässt. Bots suchen diesen Wert automatisiert.
- Front-Running (Zuvorkommen): Ein Bot sieht eine ausstehende Transaktion im Mempool (die Warteschlange unbestätigter Transaktionen) und platziert davor eine eigene Transaktion mit höherer Gebühr, sodass diese früher ausgeführt wird.
- rsETH: ein liquider Restaking-Token, der einen Anspruch auf gestaktes ETH repräsentiert.
- Safe-Wallet: eine Multisig-Wallet (erfordert mehrere Unterschriften), die von Projekten und Teams üblicherweise zur Verwaltung von Mitteln verwendet wird.
Wie genau kam der Bot dem Angriff zuvor?
Die detaillierte Mechanik, also warum die Safe-Wallet verwundbar war und wie genau Yoink die Transaktion abfing und ihr zuvorkam, ist in den veröffentlichten Quellen nicht bis auf die Ebene einzelner Schritte aufgeschlüsselt. Was onchain belegt ist, sind die Token-Bewegungen: Der Bot erhielt 2.900 rsETH und leitete 2.882,37 rsETH weiter. Die Differenz (rund 17,63 rsETH) ist damit konsistent, wie diese Art von Bots typischerweise einen Teil der Beute für sich behält, den eindeutigen Zweck dieser Differenz bestätigen die Quellen jedoch nicht.
In der Praxis kommt es bei sogenannten "Whitehat"- oder zufälligen Front-Runs vor, dass ein Bot die Mittel früher abfängt als der Angreifer. Ob es sich in diesem Fall um eine Rettung der Mittel handelte oder nur um einen anderen Akteur, der die Beute für sich selbst umleitete, geht aus den Quellen nicht eindeutig hervor.
Was ist bislang nicht bekannt?
Kurz gesagt, vieles:
- Wer hinter dem ursprünglichen Exploit stand. Die Identität des Angreifers ist nicht bestätigt.
- Wer Yoink betreibt und welche Absicht dahinterstand.
- Wohin die Mittel letztlich gelangen und ob sie an den ursprünglichen Eigentümer zurückkehren.
- Die konkrete Schwachstelle, die die Safe-Wallet dem Angriff aussetzte.
Das sind genau jene Fragen, die nach ähnlichen Vorfällen üblicherweise erst durch die anschließende Analyse von Sicherheitsfirmen oder eine Stellungnahme des betroffenen Projekts beantwortet werden.
Worauf sollte man bei dieser Art von Ereignissen achten?
Der Fall ist ein Musterbeispiel dafür, wie der Mempool auf Ethereum als öffentlicher Raum funktioniert: Ausstehende Transaktionen sind sichtbar und Bots verfolgen sie aktiv. Wenn bei einem Protokoll oder einer Wallet ein wertvoller Exploit auftaucht, ist es nicht ungewöhnlich, dass sich eine dritte Partei einschaltet und die Beute vor dem ursprünglichen Angreifer umleitet.
Bei den Zahlen rund um solche Vorfälle gilt eine Regel: Die erste Schadensschätzung (hier 7,81 Millionen Dollar laut PeckShield) kann sich präzisieren, sobald der volle Umfang der Bewegungen und der Marktwert der betroffenen Token zum Zeitpunkt des Angriffs ermittelt sind. charliedesk wird diesen Betrag sowie das Schicksal der Mittel verfolgen und gegebenenfalls korrigieren, falls spätere Onchain-Daten ein anderes Bild ergeben.