Bot MEV Dahului Serangan Ethereum, Amankan 2.900 rsETH Senilai US$7,8 Juta

CoinMarketCap melaporkan upaya serangan berskala besar yang menargetkan rsETH di jaringan Ethereum berhasil digagalkan sebelum tuntas, setelah sebuah bot MEV mengambil alih peluang transaksi di blok yang sama. Data on-chain menunjukkan bot bernama Yoink mengeksekusi transaksi lebih dulu daripada transaksi penyerang dan mengantongi 2.900 rsETH, yang dalam laporan tersebut ditaksir bernilai sekitar US$7,8 juta. Temuan PeckShield dan BlockSec mencatat peristiwa ini terjadi pada blok Ethereum 25980525. Transaksi Yoink ditempatkan pada urutan pertama di dalam blok, sedangkan transaksi serangan dieksekusi setelahnya namun berakhir revert. Para peneliti menilai bot tersebut mendeteksi peluang profit di mempool atau pada tahap penyusunan blok, lalu mengirim transaksi tandingan dengan biaya lebih tinggi untuk mengamankan prioritas urutan eksekusi. Dari aliran dana, setelah menerima 2.900 rsETH, Yoink memindahkan 2.882,37 rsETH ke alamat lain. Sisa 17,63 rsETH dialirkan melalui Uniswap v4. Jalur terkait kemudian mengembalikan 18,95 ETH ke kontrak Yoink, dan 18,93 ETH di antaranya diteruskan ke block builder. Ini mengindikasikan porsi ETH tersebut hampir seluruhnya digunakan untuk memenangkan prioritas di dalam blok, bukan untuk dikunci demi imbal hasil langsung. Insiden ini terkait executor pada modul Safe. Menurut BlockSec, akar masalahnya berada pada kontrak executor yang terhubung dengan module berkemampuan Safe dan memiliki kelemahan pada pemeriksaan otorisasi. Panggilan yang dapat dikendalikan penyerang bisa memanfaatkan executor ini untuk masuk ke jalur tepercaya dompet, memicu operasi yang seharusnya tidak bisa dipanggil langsung dari luar. Safe sendiri merupakan sistem smart contract wallet yang luas digunakan, mendukung multisignature dan memungkinkan akun mengaktifkan modul untuk menjalankan tindakan tertentu. Penilaian keamanan saat ini mengarah pada konfigurasi dompet tertentu dan isu executor terkait, tanpa indikasi kontrak inti Safe telah dikompromikan. Blockaid menambahkan, penyerang memanfaatkan public keeper multicall untuk mengarahkan modul likuiditas Uniswap v4 kustom ke hook pool yang berada di bawah kendalinya, lalu memecah aEthrsETH menjadi rsETH sehingga menghasilkan aset yang kemudian diperebutkan dalam transaksi ini. Tujuan akhir dana masih menunggu konfirmasi. Hingga informasi yang dikutip dalam laporan, pemilik alamat penerima 2.882,37 rsETH belum diungkap, dan belum jelas apakah dana akan dikembalikan. Laporan juga tidak menyebut apakah sudah ada upaya pemulihan, negosiasi bounty, atau proses hukum. Peristiwa ini kembali menegaskan MEV bukan sekadar alat arbitrase, tetapi juga dapat menentukan pemenang dalam perebutan aset saat serangan terjadi. Pihak yang lebih dulu masuk ke blok dan membayar biaya prioritas lebih tinggi kerap menjadi penentu akhir ke mana dana mengalir. Kerugian keamanan DeFi pada 2026 masih tinggi. Statistik yang dikutip menyebutkan, dalam delapan bulan pertama tahun ini, kerugian protokol akibat serangan setidaknya mencapai US$1,3 miliar. rsETH juga sempat terkait insiden keamanan lain pada April tahun ini, meski peneliti menyatakan jalur kerentanannya berbeda. Sebagai catatan tambahan, artikel tersebut menyebut Departemen Kehakiman AS sebelumnya pernah mengajukan dakwaan pidana terhadap aktivitas MEV tertentu, tetapi belum ada regulator maupun aparat penegak hukum yang mengumumkan tindakan terkait transaksi Yoink.