Cosa è successo?
Secondo un report di The Defiant, martedì su Ethereum si è verificato un tentativo di exploit mirato a un wallet di tipo Safe. Prima però che l'attaccante riuscisse a portare via il bottino, la transazione è stata anticipata da un cosiddetto bot MEV noto come Yoink.
La società di sicurezza blockchain PeckShield ha descritto l'evento come un exploit nel token di liquid staking rsETH del valore di circa 7,81 milioni di dollari. I registri onchain citati da The Defiant mostrano che la transazione di Yoink ha ricevuto 2.900 rsETH e ne ha inviati 2.882,37.
Cosa significano i termini chiave?
Perché questo episodio abbia senso, è necessario chiarire alcuni termini:
- MEV (Maximal Extractable Value): il valore che si può ottenere riordinando, inserendo o escludendo transazioni in un blocco. I bot cercano questo valore in modo automatizzato.
- Front-running (anticipazione): il bot vede una transazione in attesa nel mempool (la coda delle transazioni non confermate) e inserisce prima di essa una propria transazione con una commissione più alta, in modo da essere eseguita prima.
- rsETH: un token di liquid restaking che rappresenta un diritto sull'ETH stakato.
- Safe wallet: un wallet multisig (che richiede più firme), comunemente usato da progetti e team per gestire i fondi.
Come ha fatto esattamente il bot ad anticipare l'attacco?
La meccanica dettagliata, ossia perché il wallet Safe fosse vulnerabile e come esattamente Yoink abbia intercettato e anticipato la transazione, non è illustrata nelle fonti pubblicate fino al livello dei singoli passaggi. Ciò che è documentato onchain sono i movimenti dei token: il bot ha ricevuto 2.900 rsETH e ne ha inviati 2.882,37. La differenza (circa 17,63 rsETH) è coerente con il modo in cui questo tipo di bot tipicamente trattiene una parte del bottino, ma le fonti non confermano lo scopo preciso di tale differenza.
Nella pratica, nei cosiddetti front-run "whitehat" o casuali, capita che il bot intercetti i fondi prima dell'attaccante. Se in questo caso si sia trattato di un salvataggio dei fondi o semplicemente di un altro attore che ha dirottato il bottino a proprio vantaggio, non emerge chiaramente dalle fonti.
Cosa non è ancora noto?
In breve, molte cose:
- Chi si celi dietro l'exploit originale. L'identità dell'attaccante non è confermata.
- Chi gestisce Yoink e quale fosse il suo intento.
- Dove finiranno i fondi e se torneranno al proprietario originale.
- La vulnerabilità specifica che ha esposto il wallet Safe all'attacco.
Queste sono esattamente le domande a cui, dopo incidenti simili, di solito rispondono solo l'analisi successiva delle società di sicurezza o le dichiarazioni del progetto colpito.
A cosa fare attenzione con questo tipo di eventi?
Il caso è un esempio da manuale di come il mempool su Ethereum funzioni come uno spazio pubblico: le transazioni in attesa sono visibili e i bot le monitorano attivamente. Quando un protocollo o un wallet presenta un exploit di valore, non è insolito che entri in gioco una terza parte che dirotta il bottino prima dell'attaccante originale.
Per quanto riguarda le cifre attorno a incidenti simili, vale una regola: la prima stima del danno (qui 7,81 milioni di dollari secondo PeckShield) può essere precisata una volta ricostruita la piena portata dei movimenti e il valore di mercato dei token colpiti al momento dell'attacco. charliedesk seguirà questa cifra e il destino dei fondi e, se necessario, correggerà qualora dati onchain successivi mostrassero un quadro diverso.