MEV-бот перехопив 2 900 rsETH на $7,8 млн, зірвавши спробу атаки в мережі Ethereum

За даними CoinMarketCap, масштабну спробу атаки на rsETH у мережі Ethereum зупинили ще до завершення: MEV-бот випередив транзакцію зловмисника в тому самому блоці та забрав активи. Ончейн-дані свідчать, що бот під назвою Yoink розмістив свою операцію першою в блоці Ethereum №25980525, після чого початкова транзакція атаки була виконана, але завершилася відкатом (revert). Як зазначають PeckShield і BlockSec, Yoink отримав 2 900 rsETH. У звіті їхню вартість оцінили приблизно у $7,8 млн. Дослідники дійшли висновку, що бот помітив вигідну можливість у mempool або на етапі формування блоку, подав конкуруючу транзакцію і забезпечив пріоритет за рахунок вищої комісії. За маршрутом руху коштів після отримання 2 900 rsETH бот переказав 2 882,37 rsETH на іншу адресу, а решту 17,63 rsETH провів через Uniswap v4. Далі відповідна схема повернула 18,95 ETH на контракт Yoink, з яких 18,93 ETH було переказано білдеру блоку. Це вказує, що майже весь цей обсяг ETH було витрачено на боротьбу за пріоритет у блоці, а не на утримання ETH заради прямої дохідності. Інцидент пов'язують з виконавцем модуля Safe. У BlockSec заявили, що першопричина — контракт-екзек'ютор, під'єднаний до модуля з підтримкою Safe, де є дефект перевірки авторизації. Керовані атакувальником виклики могли використати цей екзек'ютор, щоб потрапити у "довірений" шлях гаманця та ініціювати дії, які не мали б бути доступні напряму ззовні. Safe — популярна система смартконтракт-гаманців із підтримкою multisig та можливістю вмикати модулі для виконання окремих операцій. Поточні оцінки безпеки вказують на конкретні конфігурації гаманців і проблеми суміжного екзек'ютора; ознак компрометації базових контрактів Safe наразі немає. Blockaid додатково повідомила, що атакувальник задіяв публічний keeper multicall, щоб спрямувати кастомний модуль ліквідності Uniswap v4 до hook-пулу під власним контролем, після чого розклав aEthrsETH на rsETH — саме ці активи й стали предметом спору в межах транзакції. Кінцевий отримувач коштів усе ще потребує підтвердження: станом на момент публікації власника адреси, що отримала 2 882,37 rsETH, не розкрито, а перспектива повернення коштів залишається невизначеною. Також не повідомлялося, чи розпочато процедури відновлення, переговори щодо винагороди (bounty) або юридичні дії. Ситуація вкотре підкреслює, що MEV — це не лише інструмент арбітражу: він здатен втручатися у розподіл активів під час атак. Те, чия транзакція потрапляє в блок першою і хто платить вищі пріоритетні комісії, часто напряму визначає, де зрештою опиняться кошти. Втрати DeFi від атак у 2026 році залишаються значними. За статистикою, наведеною в матеріалі, за перші вісім місяців цього року збитки протоколів від атак сягнули щонайменше $1,3 млрд. rsETH уже фігурував в іншому інциденті безпеки у квітні, але дослідники наголосили, що вразливі ланцюжки в цих двох випадках різні. У матеріалі також зазначено, що Міністерство юстиції США раніше висувало кримінальні обвинувачення щодо окремих MEV-практик, втім жоден регулятор чи правоохоронний орган не оголосив про дії стосовно транзакції Yoink.