Coinbase verliert 300.000 USD durch MEV-Exploit nach Fehltritt mit 0x-Swapper-Vertrag

Krypto-Börse Coinbase verlor rund 300.000 US-Dollar an Token-Gebühren, nachdem eine fehlkonfigurierte Interaktion mit dem „Swapper“-Vertrag des dezentralen Börsenprotokolls 0x MEV-Bots ermöglichte, Gelder aus einem seiner Firmen-Wallets abzusaugen.

Coinbases Chief Security Officer Philip Martin bestätigte den Vorfall und bezeichnete ihn als „ein isoliertes Problem“, das mit einer Änderung in einem der Corporate-DEX-Wallets der Börse zusammenhängt. Er betonte, dass laut einem Beitrag auf X keine Kundengelder betroffen waren.

Der Sicherheitsforscher „deeberiroz“ vom Venn Network meldete den Exploit erstmals am Mittwoch und erklärte, dass Coinbase versehentlich Token für den Swapper-Vertrag genehmigt habe — ein erlaubnisfreies Tool, das für die Ausführung von Swaps konzipiert ist, jedoch nicht dazu bestimmt ist, Token-Zulassungen zu verwalten.

Diese Konstellation öffnete die Tür für opportunistische MEV-Bots, die die Wallet sofort nach Aktivierung der Genehmigungen leerschlürften.

MEV, oder „maximal extrahierbarer Wert“, bezeichnet die Praxis des Front-Running oder der Umordnung von Blockchain-Transaktionen, um Gewinne zu erzielen, bzw. in diesem Fall die Ausführung von Transfers, bevor Coinbase den Zugriff widerrufen konnte.

„Es scheint, als habe ein MEV-Bot im Verborgenen gelauert und darauf gewartet, dass Nutzer diesem Vertrag versehentlich zustimmen — um dann alle ihre Mittel abzusaugen“, schrieb der Forscher auf X. „Nun, ihr Traum wurde dank Coinbase wahr … Sie machten ein Vermögen, indem sie das Coinbase-Gebührenempfängerkonto aller gesammelten Token leer räumten.“

Da der Vertrag von jedermann zugänglich ist, konnten die Bots ihn aufrufen (ein Softwarebegriff, der das Anfordern von Diensten von einem anderen Programm bezeichnet), um die genehmigten Token direkt auf ihre eigenen Adressen zu übertragen.

Während 300.000 US-Dollar für Coinbase unerheblich sind, zeigt die Sicherheitslücke, wie selbst führende Börsen gegenüber kleinen, aber ausgeklügelten Formen des automatisierten Handelsmissbrauchs verwundbar sind.

MEV-Bots sind seit langem eine feste Größe im Ethereum- und anderen Blockchain-Ökosystemen und erzielen Gewinne aus Token-Starts, NFT-Mints und Liquiditätsereignissen, indem sie die Sichtbarkeit des Memepools und die Neuordnung von Transaktionen ausnutzen.

In diesem Fall warteten die Bots einfach darauf, dass eine Wallet mit hohem Wert – wie der Gebührenempfänger von Coinbase – irrtümlich Ausgaberechte an einen offenliegenden Vertrag gewährte, und führten dann sofort die Abhebung durch.