Coinbase perde $300 mil em exploit de MEV após erro com contrato swapper 0x

A exchange de criptomoedas Coinbase perdeu aproximadamente US$ 300.000 em taxas de tokens após uma interação mal configurada com o contrato “swapper” do protocolo de exchange descentralizada 0x permitir que bots MEV desviem fundos de uma de suas carteiras corporativas.

O diretor de segurança da Coinbase, Philip Martin, confirmou o incidente e o classificou como “um problema isolado” relacionado a uma alteração em uma das carteiras DEX corporativas da exchange. Ele enfatizou que nenhum fundo de cliente foi afetado, conforme publicação no X.

O pesquisador de segurança “deeberiroz” da Venn Network foi o primeiro a identificar a vulnerabilidade na quarta-feira, afirmando que a Coinbase aprovou inadvertidamente tokens para o contrato swapper — uma ferramenta sem permissões projetada para executar trocas, mas que não tinha a intenção de manter autorizações de tokens.

Essa configuração abriu caminho para bots oportunistas de MEV, que imediatamente drenaram a carteira assim que as aprovações estavam ativas.

MEV, ou “valor máximo extraível,” refere-se à prática de antecipar ou reordenar transações em blockchain para capturar lucros, ou, neste caso, executar transferências antes que a Coinbase pudesse revogar o acesso.

“Parece que havia um bot MEV à espreita nas sombras, aguardando que os usuários aprovassem por engano este contrato — e então drenassem todos os seus fundos,” escreveu o pesquisador no X. “Bem, o sonho deles se tornou realidade graças à Coinbase … Eles lucraram muito ao esvaziar a conta receptora de taxas da Coinbase com todos os tokens que acumularam.”

Como o contrato pode ser acessado por qualquer pessoa, os bots conseguiram acioná-lo (um termo de software que significa solicitar serviços de outro programa) para transferir os tokens aprovados diretamente para seus próprios endereços.

Embora US$ 300.000 sejam insignificantes para a Coinbase, a violação demonstra como até mesmo as exchanges líderes são vulneráveis a formas pequenas, porém sofisticadas, de exploração automatizada de negociação.

Os bots MEV têm sido há muito tempo uma presença constante no Ethereum e em outros ecossistemas de blockchain, lucrando com lançamentos de tokens, mintagens de NFTs e eventos de liquidez ao explorar a visibilidade do mempool e a reordenação de transações.

Neste caso, os bots simplesmente aguardaram que uma carteira de alto valor — como a receptora de taxas da Coinbase — concedesse por engano direitos de gastos a um contrato exposto, e então executaram a drenagem instantaneamente.