Un bot MEV anticipa un tentativo di attacco su Ethereum e incassa 7,8 milioni di dollari in rsETH

Secondo CoinMarketCap, un tentativo di attacco su larga scala che prendeva di mira rsETH su Ethereum è stato bloccato prima di andare a segno grazie all'intervento di un bot MEV. I dati on-chain indicano che un bot denominato Yoink ha inserito la propria transazione davanti a quella dell'attaccante nello stesso blocco, appropriandosi di 2.900 rsETH, pari a circa 7,8 milioni di dollari. Le società di sicurezza PeckShield e BlockSec, che hanno tracciato l'evento, riportano che la sequenza si è verificata nel blocco Ethereum 25980525: la transazione di Yoink è stata posizionata per prima, mentre quella dell'attacco è stata eseguita successivamente ma è andata in revert. I ricercatori ritengono che il bot abbia intercettato l'opportunità di profitto nel mempool o durante la fase di confezionamento del blocco, inviando una transazione concorrente e ottenendo la priorità tramite una fee più alta. Dai flussi di fondi emerge che, dopo aver ricevuto 2.900 rsETH, Yoink ha trasferito 2.882,37 rsETH a un altro indirizzo e ha instradato i restanti 17,63 rsETH attraverso Uniswap v4. In seguito, il percorso associato ha riportato 18,95 ETH al contratto Yoink; di questi, 18,93 ETH sono stati poi inviati al block builder. L'interpretazione è che quasi tutta questa quota in ETH sia stata impiegata per competere sulla priorità di inclusione nei blocchi, più che per trattenere ETH con finalità di rendimento. L'episodio è collegato all'executor dei moduli Safe. BlockSec indica che la causa principale risiede in un contratto executor associato a un modulo abilitato su Safe, con una debolezza nel controllo delle autorizzazioni. Chiamate controllate dall'attaccante avrebbero potuto sfruttare l'executor per entrare nel percorso fidato del wallet e attivare operazioni che non dovrebbero essere richiamabili direttamente dall'esterno. Safe è un sistema di smart contract wallet ampiamente utilizzato, supporta la multisig e consente di abilitare moduli per svolgere azioni specifiche. Le valutazioni attuali puntano a configurazioni di wallet e problemi dell'executor, senza evidenze di compromissione dei contratti core di Safe. Blockaid aggiunge che l'attaccante avrebbe sfruttato un keeper multicall pubblico per instradare un modulo personalizzato di liquidità Uniswap v4 verso un hook pool sotto il proprio controllo, quindi avrebbe scomposto aEthrsETH in rsETH, generando gli asset finiti al centro della contesa. La destinazione finale dei fondi non è ancora stata confermata. Alla data delle informazioni citate, non è noto il proprietario dell'indirizzo che ha ricevuto 2.882,37 rsETH e non è chiaro se gli asset verranno restituiti. Il report non segnala nemmeno l'avvio di iniziative di recupero, negoziazioni di bounty o azioni legali. L'incidente evidenzia che il MEV non è solo arbitraggio: può anche intervenire nelle dispute sugli asset durante un attacco. L'ordine di inclusione nel blocco e le priority fee pagate spesso determinano direttamente chi incassa i fondi. Le perdite legate alla sicurezza DeFi restano elevate nel 2026. Le statistiche citate nell'articolo stimano che, nei primi otto mesi dell'anno, le perdite dei protocolli dovute ad attacchi abbiano raggiunto almeno 1,3 miliardi di dollari. rsETH era già stato coinvolto in un altro incidente di sicurezza ad aprile, ma i ricercatori sostengono che i vettori di vulnerabilità dei due casi siano diversi. In aggiunta, l'articolo ricorda che il Dipartimento di Giustizia degli Stati Uniti ha in passato presentato accuse penali legate ad alcune attività MEV, ma al momento nessuna autorità regolatoria o forza dell'ordine ha annunciato iniziative in relazione alla transazione di Yoink.