Que s'est-il passé ?
Selon un reportage de The Defiant, une tentative d'exploit visant un portefeuille de type Safe a eu lieu mardi sur Ethereum. Mais avant que l'attaquant ne puisse emporter son butin, la transaction a été devancée par un bot MEV appelé Yoink.
La société de sécurité blockchain PeckShield a décrit l'événement comme un exploit du token de staking liquide rsETH d'une valeur d'environ 7,81 millions de dollars. Les enregistrements onchain cités par The Defiant montrent que la transaction de Yoink a reçu 2 900 rsETH et en a renvoyé 2 882,37 rsETH.
Que signifient les termes clés ?
Pour que cet épisode ait du sens, il faut clarifier quelques termes :
- MEV (Maximal Extractable Value) : la valeur qui peut être extraite en réorganisant, insérant ou excluant des transactions dans un bloc. Les bots recherchent cette valeur de façon automatisée.
- Front-running (devancement) : un bot voit une transaction en attente dans le mempool (la file des transactions non confirmées) et insère sa propre transaction avant elle, avec des frais plus élevés, afin qu'elle soit exécutée en premier.
- rsETH : un token de restaking liquide qui représente une créance sur de l'ETH staké.
- Safe wallet : un portefeuille multisig (nécessitant plusieurs signatures), couramment utilisé par les projets et les équipes pour gérer des fonds.
Comment le bot a-t-il exactement devancé l'attaque ?
La mécanique détaillée, c'est-à-dire pourquoi le portefeuille Safe était vulnérable et comment Yoink a précisément intercepté et devancé la transaction, n'est pas décrite étape par étape dans les sources publiées. Ce qui est documenté onchain, ce sont les mouvements de tokens : le bot a reçu 2 900 rsETH et en a renvoyé 2 882,37. La différence (environ 17,63 rsETH) est cohérente avec la manière dont ce type de bots conserve habituellement une partie du butin, mais les sources ne confirment pas le but précis de cette différence.
En pratique, dans le cas des front-runs dits "whitehat" ou accidentels, il arrive qu'un bot intercepte les fonds avant l'attaquant. Les sources ne permettent pas de déterminer clairement s'il s'agissait ici d'un sauvetage de fonds ou simplement d'un autre acteur qui a détourné le butin à son propre profit.
Qu'est-ce qui reste inconnu pour l'instant ?
En bref, beaucoup de choses :
- Qui se cache derrière l'exploit initial. L'identité de l'attaquant n'est pas confirmée.
- Qui exploite Yoink et quelle était son intention.
- Où les fonds aboutiront finalement et s'ils seront restitués à leur propriétaire d'origine.
- La vulnérabilité concrète qui a exposé le portefeuille Safe à l'attaque.
Ce sont précisément les questions auxquelles, après des incidents similaires, seule une analyse ultérieure des sociétés de sécurité ou une déclaration du projet touché apporte généralement des réponses.
À quoi faut-il faire attention avec ce type d'événements ?
Ce cas est un exemple d'école de la manière dont le mempool sur Ethereum fonctionne comme un espace public : les transactions en attente sont visibles et les bots les surveillent activement. Lorsqu'un exploit de valeur apparaît sur un protocole ou un portefeuille, il n'est pas rare qu'une tierce partie entre en jeu et détourne le butin avant l'attaquant initial.
Concernant les chiffres autour de ce genre d'incidents, une règle s'applique : la première estimation des dégâts (ici 7,81 millions de dollars selon PeckShield) peut être précisée dès que l'on retrace l'ampleur complète des mouvements et la valeur de marché des tokens touchés au moment de l'attaque. charliedesk suivra ce montant ainsi que le sort des fonds, et corrigera le cas échéant si des données onchain ultérieures révèlent un tableau différent.