Хищение Gnosis Safe на сумму 7,8 миллиона долларов перехвачено ботом Yoink MEV: что произошло?

Кошелек Gnosis Safe на Ethereum потерял примерно $7,8 миллиона в rsETH 15 сентября 2026 года, после того как злоумышленник использовал ошибку в проверке авторизации в вспомогательном контракте, который кошелек ранее одобрил.

Тем не менее, злоумышленник в конечном итоге не получил украденные средства. Общий MEV бот, известный как Yoink, выявил Exploit в публичном мемпуле Ethereum и выполнил аналогичную транзакцию первым, захватив большинствоrsETH в том же блоке.

Инцидент подчеркивает риски третьих сторон, публичной видимости транзакций и сложных интеграций DeFi.

Ключевые выводы

• Потеря в $7,8 миллиона произошла из-за авторизованного вспомогательного контракта, а не из-за сбоя основной мультиподписи Safe.
• Yoink обнаружил Exploit в публичном мемпуле и заплатил примерно $46,000 до $47,000, чтобы его транзакция была обработана первой.
• Kelp DAO временно приостановил получение средств и заявил, что его основные контракты остались защищенными и rsETH остаётся полностью обеспеченным.

Как произошел Exploit Gnosis Safe

Источник: Pexels

Инцидент начался с кошелька Gnosis Safe, содержащего примерно 2,900 rsETH, стоимостью около $7,8 миллиона на тот момент.

Службы безопасности включая Blockaid, BlockSec и SlowMist, проследили проблему до вспомогательного контракта, который владелец кошелька авторизовал.

Проблема не была идентифицирована как компрометация основных мультиподписных контрактов или ключей владельца Safe.

Кошелек активировал пользовательский модуль, который мог взаимодействовать с его активами без необходимости в новой подписи владельца для каждой операции.

Этот тип настройки может быть полезен для автоматизированных стратегий, но также означает, что модуль становится частью границы безопасности кошелька.

Ошибка авторизации

Вспомогательный контракт содержал неисправную проверку авторизации. Исследователи сообщили, что вызов мог манипулировать параметрами контракта так, что помощник фактически рассматривал запрос как авторизованный.

Это позволило злоумышленнику передавать инструкции через активированный модуль Safe и выполнять действия в контексте кошелька.

Злоумышленник затем направил активы кошелька через пользовательский пул ликвидности Uniswap v4 и использовал контролируемый злоумышленником хук для преобразования позиции в переносимый rsETH.

Ключевой урок заключается в том, что безопасный мультиподпись не устраняет риски, создаваемые контрактами, которые кошелек преднамеренно авторизует.

Смотрите также: Мой аккаунт на криптобирже был взломан! Что я могу сделать?

Роль злонамеренного пула Uniswap v4

Злоумышленник не просто отправил rsETH напрямую в личный кошелек. Вместо этого Exploit использовал специально построенноеUniswap v4 окружение.

Злоумышленник создал пул, включающий бесполезный токен и пользовательский хук. Уязвимый модуль кошелька был затем направлен к этому пулу.

Это обеспечивало злоумышленнику путь для манипулирования позицией жертвы и извлечения ценного rsETH.

От aEthrsETH к rsETH

Затронутый кошелек имел задействованную позицию, связанную с aEthrsETH, представлением, приносящим процент от rsETH, предоставленного через Aave.

Exploit привел к тому, что около 2,900 aEthrsETH было выведено и преобразовано в переносимый rsETH.

Это различие имеет значение, потому что инцидент не был просто случаем, когда кто-то угадал закрытый ключ или обошел стандартное требование подписи Safe.

Он затрагивал несколько взаимосвязанных элементов DeFi инфраструктуры:

• Gnosis Safe
• Авторизованный вспомогательный контракт
• Пользовательский модуль Safe
• Aave
• Uniswap v4
• Контролируемый злоумышленником хук
• rsETH Kelp DAO

Комбинация создала сложный путь атаки, в котором уязвимость в одном компоненте могла повлиять на активы, хранящиеся через другой.

Как бот Yoink MEV перегнал хакера

Самая необычная часть инцидента произошла после того, как Exploit был уже подготовлен. Злоумышленник отправил транзакцию в публичный мемпул Ethereum.

Ожидающие транзакции в публичном мемпуле могут быть замечены автоматизированными системами, которые анализируют их на предмет прибыльных возможностей.

Yoink, универсальный MEV исследователь, выявил ожидаемую эксплуатацию и распознал, что транзакция может перемещать миллионы долларов в rsETH.

Yoink заплатил, чтобы добраться туда первым

Yoink подал свою собственную транзакцию и заплатил значительный приоритетный сбор, чтобы она была включена до транзакции злоумышленника.

Отчеты оценивают стоимость примерно в 46,000–47,000 долларов, или около 19 ETH. Обе транзакции были включены в блок Ethereum 25980525.

Транзакция Yoink была выполнена первой и захватила примерно 2,882 rsETH. Оригинальная атакующая транзакция затем столкнулась с уже опустошенной позицией и была отменена.

Результат создал необычный исход: уязвимость работала, но оригинальный атакующий не получил ожидаемую выплату.

Для пользователей криптовалют, которые хотят следить за более широкими рыночными возможностями, выходящими за рамки отдельных инцидентов безопасности, Bitrue предоставляет платформу для покупки, продажи и торговли поддерживаемыми криптоактивами.

Зарегистрируйтесь в Bitrueчтобы исследовать доступные рынки и управлять своей торговой деятельностью в криптовалюте в одном месте.

Что случилось с украденными rsETH?

Хотя Yoink предотвратил получение оригинальным злоумышленником основной суммы средств, активы не были немедленно возвращены жертве.

Записи на цепи показывают, что большая часть захваченных rsETH была переведена на отдельный адрес, связанный с транзакцией Yoink.

Kelp DAO, эмитент rsETH, ответил временной приостановкой на адрес получения.

Приостановка была призвана предотвратить движение затронутых активов, пока инцидент исследовался.

Kelp DAO также заявил, что его основные контракты безопасны и что rsETH остается полностью обеспеченным.

Поэтому инцидент касался кошелька и его авторизованного модуля, а не прямого компрометации основных контрактов токенов Kelp DAO.

Будут ли средства возвращены?

Это остается открытым вопросом на основе информации, доступной на момент отчета.

Были предыдущие инциденты DeFi, когда MEV исследователи захватывали средства из эксплуатации и позже возвращали большую часть активов, сохранив вознаграждение.

Тем не менее, это не определяет, что в конечном итоге сделает Yoink в этом случае.

Временная приостановка означает, что захваченные средства вошли в период ограниченного движения, пока соответствующие стороны оценивали ситуацию.

Что значит ограбление Gnosis Safe для безопасности DeFi

Инцидент предоставляет несколько практических уроков для пользователей, управляющих криптовалютой через смарт-контрактныекошельки.

Во-первых, безопасность кошелька выходит за рамки основного контракта кошелька. Каждый авторизованный модуль, помощник, исполнитель и интеграция могут внести дополнительный риск.

Мультиподписной кошелек все еще может быть подвержен риску, если доверяемый модуль содержит серьезный дефект авторизации.

Во-вторых, сложные стратегии DeFi создают больше зависимостей. Атака затрагивала модуль Safe, контракт-помощник, Aave, Uniswap v4 и rsETH.

Каждый дополнительный компонент может создать еще одну точку, которую необходимо проверить.

Ключевые аспекты безопасности

• Регулярно проверяйте авторизованные модули Safe.
• Удаляйте интеграции, которые больше не требуются.
• Понимайте, какие разрешения получают контракты третьих сторон.
• Избегайте предположения, что авторитетный кошелек делает каждый связанный контракт безопасным.
• Отслеживайте необычные транзакции и взаимодействия с контрактами.

Интервенция Yoink также демонстрирует прозрачность публичных блокчейнов..

Транзакция злоумышленника раскрыла достаточно информации в мемпуле, чтобы другая автоматизированная система могла идентифицировать и воспроизвести возможность.

Эта прозрачность может помочь исследователям быстро обнаруживать атаки, но также может создать среду, в которой злоумышленники, исследователи MEV и другие автоматизированные актеры конкурируют за одну и ту же транзакцию.

Читать также: Как защитить себя от атак фишинга в криптовалюте

Заключение

Инцидент с Gnosis Safe на 7.8 миллионов долларов был вызван уязвимостью в авторизованном контракте-помощнике, а не компрометацией основной системы мультиподписей Safe.

Злоумышленник использовал эту уязвимость, чтобы провести примерно 2,900 rsETH через вредоносную установку Uniswap v4, но публичный характер эксплуатации позволил боту MEV Yoink обнаружить и обогнать транзакцию.

Yoink захватил большую часть средств до того, как оригинальная атака смогла завершиться.

Kelp DAO впоследствии приостановил адрес получения, подтвердив, что его основные контракты и обеспечение rsETH остаются безопасными.

Инцидент показывает, почему разрешения смарт-контрактов, модули третьих сторон и интеграции DeFi заслуживают внимательного изучения.

Для более широких нужд в криптотрейдинге, Bitrue поддерживает более легкий и безопасный криптотрейдинг через поддерживаемые цифровые активы и рынки.

Часто задаваемые вопросы

Был ли взломан сам Gnosis Safe?

Согласно отчетам охранных фирм, инцидент был вызван ошибочным механизмом авторизации в вспомогательном контракте, авторизованном кошельком, а не уязвимостью в основных многоподписных контрактах Safe.

Что такое бот Yoink MEV?

Yoink — это универсальный MEV-искатель, который отслеживает транзакции Ethereum на предмет возможностей. В ходе этого инцидента он обнаружил предстоящую атаку и выполнил действия до того, как это сделал оригинальный злоумышленник.

Сколько rsETH было украдено?

Приблизительно 2,900 rsETH, на сумму около 7.8 миллионов долларов на тот момент, стали объектом атаки. Yoink захватил примерно 2,882 rsETH до того, как оригинальная транзакция взлома была отменена.

Что такое rsETH?

rsETH — это ликвидный токен повторного стекинга, связанный с Kelp DAO. Kelp DAO заявила после инцидента, что ее основные контракты остались безопасными и что rsETH полностью обеспечен.

Были ли возвращены украденные средства?

Доступные отчеты не подтверждают окончательное возвращение захваченных средств. Kelp DAO временно приостановила адрес получения, в то время как статус любой потенциальной процедуры возврата или вознаграждения оставался нерешенным на момент отчетности.

Отказ от ответственности: Высказывания принадлежат исключительно автору и не отражают мнения этой платформы. Эта платформа и ее партнеры отказываются от какой-либо ответственности за точность или соответствие предоставленной информации. Это предназначено только для информационных целей и не является финансовым или инвестиционным советом.