Ethereum : un bot MEV devance une tentative d'attaque et capte 7,8 M$ en rsETH

Selon CoinMarketCap, une tentative d'attaque à grande échelle visant rsETH sur Ethereum a été stoppée avant son aboutissement par un bot MEV. Les données on-chain indiquent qu'un bot baptisé Yoink a fait passer sa transaction avant celle de l'attaquant dans le même bloc, s'appropriant 2/900 rsETH, valorisés à environ 7,8 millions de dollars. D'après les analyses suivies par PeckShield et BlockSec, l'opération s'est déroulée dans le bloc Ethereum 25980525. La transaction de Yoink a été ordonnée en première position du bloc ; la transaction d'attaque a été incluse ensuite, puis annulée (reverted). Les chercheurs estiment que le bot a repéré une opportunité rentable dans le mempool ou lors de la phase d'assemblage du bloc, puis a soumis une transaction concurrente assortie de frais plus élevés pour obtenir la priorité. Côté flux de fonds, après avoir reçu 2/900 rsETH, Yoink a transféré 2/882,37 rsETH vers une autre adresse, tandis que les 17,63 rsETH restants ont été acheminés via Uniswap v4. Le chemin associé a ensuite renvoyé 18,95 ETH au contrat Yoink, dont 18,93 ETH ont été envoyés au block builder. Cette séquence suggère que l'essentiel de cette portion d'ETH a servi à acheter la priorité d'inclusion, plutôt qu'à être immobilisé pour générer un rendement. L'incident est lié à un exécuteur (executor) de module Safe. BlockSec attribue la cause racine à un contrat d'exécution relié à un module activé via Safe, affecté par une faille de contrôle d'autorisation. Des appels contrôlés par l'attaquant peuvent exploiter cet exécuteur pour emprunter un chemin "de confiance" du portefeuille et déclencher des opérations qui ne devraient pas être appelables directement depuis l'extérieur. Safe, très répandu comme système de portefeuille en smart contract, prend en charge le multisignature et permet l'activation de modules pour exécuter des actions spécifiques. Les évaluations actuelles pointent des configurations de portefeuilles et des problèmes d'exécuteur, sans signaler de compromission des contrats Safe "cœur". Blockaid précise que l'attaquant a exploité un keeper multicall public pour diriger un module de liquidité Uniswap v4 personnalisé vers un hook pool sous son contrôle, puis a décomposé aEthrsETH en rsETH, générant les actifs qui ont fait l'objet de la lutte d'ordre dans le bloc. La destination finale des fonds reste à confirmer. À la date des informations citées, l'identité du détenteur de l'adresse ayant reçu 2/882,37 rsETH n'a pas été divulguée, et un éventuel retour des fonds demeure incertain. Le papier ne mentionne pas non plus d'actions de récupération, de négociations de prime (bounty) ni de procédures judiciaires en cours. L'épisode illustre une nouvelle fois que la MEV ne se limite pas à l'arbitrage : elle peut aussi s'interposer dans une contestation d'actifs lors d'attaques. Dans ce type de scénario, l'ordre d'entrée dans le bloc et le niveau de frais de priorité payés pèsent souvent directement sur l'issue des fonds. Les pertes liées à la sécurité DeFi restent élevées en 2026. D'après les statistiques relayées, sur les huit premiers mois de l'année, les pertes de protocoles dues aux attaques atteignent au moins 1,3 milliard de dollars. rsETH avait déjà été impliqué dans un autre incident en avril, mais les chercheurs indiquent que les vecteurs de vulnérabilité diffèrent entre les deux événements. Enfin, l'article rappelle que le Département de la Justice américain a déjà engagé des poursuites pénales contre certaines activités liées à la MEV, sans qu'aucun régulateur ni aucune autorité n'ait annoncé à ce stade de mesure concernant la transaction Yoink.