MEV-бот перехватил 2"900 rsETH на $7,8 млн, сорвав попытку атаки в сети Ethereum

По данным CoinMarketCap, крупная попытка атаки на rsETH в сети Ethereum была остановлена еще до завершения благодаря MEV-боту. Ончейн-записи показывают, что бот под названием Yoink провел свою транзакцию раньше исходной атакующей операции в рамках одного и того же блока и забрал 2"900 rsETH. В отчете их стоимость оценивается примерно в $7,8 млн. Данные, отслеживаемые PeckShield и BlockSec, указывают, что событие произошло в блоке Ethereum 25980525. Транзакция Yoink была поставлена первой в блоке, а транзакция предполагаемого злоумышленника прошла после нее, но завершилась откатом (reverted). Исследователи считают, что бот заметил прибыльную возможность в мемпуле или на стадии формирования блока, отправил конкурирующую транзакцию и получил приоритет за счет более высокой комиссии. По движению средств: после получения 2"900 rsETH Yoink перевел 2"882,37 rsETH на другой адрес, а оставшиеся 17,63 rsETH провел через Uniswap v4. Затем по связанному маршруту обратно в контракт Yoink поступило 18,95 ETH, из которых 18,93 ETH позже были отправлены сборщику блока (block builder). Это указывает на то, что почти весь этот объем ETH был использован для покупки приоритета включения в блок, а не для удержания ради прямой доходности. Инцидент связан с исполнителем модулей Safe. В BlockSec заявили, что первопричина — в контракте executor, подключенном к модулю с поддержкой Safe, где обнаружен дефект проверки авторизации. Управляемые атакующим вызовы могут использовать этот executor, чтобы попасть в доверенный путь кошелька и инициировать операции, которые не должны быть доступны для прямого внешнего вызова. Safe — широко используемая система смарт-контрактных кошельков, поддерживающая мультиподпись и подключение модулей для выполнения заданных действий. Текущие оценки безопасности указывают на специфические конфигурации кошельков и проблему в связанном executor, при этом признаков компрометации базовых контрактов Safe не выявлено. Blockaid дополнительно сообщил, что атакующий задействовал публичный keeper multicall, чтобы направить кастомный модуль ликвидности Uniswap v4 в hook-пул под своим контролем, после чего разложил aEthrsETH на rsETH, сформировав активы, за которые и возникла конкуренция в этой транзакции. Конечный получатель средств пока не подтвержден. На момент публикации владелец адреса, получившего 2"882,37 rsETH, не раскрыт, и остается неясным, будут ли средства возвращены. В материале также не говорится о запуске процедур восстановления, переговорах о вознаграждении (bounty) или судебно-правовых действиях. Случай вновь показывает, что MEV — не только инструмент арбитража: он способен вмешиваться в спор за активы во время атак. Кто окажется в блоке первым и кто заплатит более высокую комиссию за приоритет, часто напрямую определяет итоговое распределение средств. Потери DeFi от атак в 2026 году остаются значительными. Согласно приведенной статистике, за первые восемь месяцев этого года убытки протоколов из-за атак достигли как минимум $1,3 млрд. rsETH уже фигурировал в другом инциденте безопасности в апреле, но исследователи отмечают, что цепочки уязвимостей в этих двух случаях различаются. Отдельно отмечается, что Министерство юстиции США ранее выдвигало уголовные обвинения по некоторым видам MEV-активности, но ни один регулятор или правоохранительный орган не объявлял о каких-либо действиях в связи с транзакцией Yoink.