Coinbase pierde $300 mil ante bots MEV tras error en configuración de intercambio de tokens
Coinbase, el mayor exchange con sede en Estados Unidos, perdió $300,000 ante bots MEV debido a una mala configuración en la plataforma de intercambio de tokens de 0xProject.
El 13 de agosto, el investigador de seguridad pseudónimo Deebeez reveló que Coinbase usó erróneamente el swapper de 0x para aprobar tokens, una función para la que nunca fue diseñado.
Señaló:
“0x tiene un swapper que nunca debe recibir aprobaciones. Este mismo swapper ya ha tenido problemas con reclamos de Zora en Base, ya que permite a los usuarios realizar llamadas arbitrarias.”
Según él, esta aprobación otorgó acceso ilimitado a los tokens acumulados como tarifas en el router del exchange, creando una vulnerabilidad explotable.
Como resultado de este error, los bots MEV vaciaron la cuenta receptora de tarifas de Coinbase de todos los tokens acumulados.
Añadió:
“Parece que había un bot MEV al acecho, esperando que los usuarios aprobaran por error este contrato para drenar sus fondos. Bueno, su sueño se hizo realidad gracias a Coinbase.”
Respuesta de Coinbase
El director de seguridad de Coinbase, Philip Martin, confirmó que la brecha fue un evento aislado.
Según Martin, el incidente se originó por un cambio reciente en una de las carteras corporativas del exchange descentralizado (DEX), lo que provocó transferencias no autorizadas de tokens.
Sin embargo, enfatizó que el incidente no afectó los activos de los clientes.
Martin agregó que el exchange revocó los permisos de tokens y trasladó sus fondos a una nueva cartera corporativa para evitar más pérdidas.
Este incidente de seguridad sigue a una filtración de datos impulsada por un insider que expuso la información personal de casi 70,000 usuarios.
Coinbase informó que los perpetradores intentaron extorsionar $20 millones en Bitcoin. También usaron los datos robados para hacerse pasar por empleados en esquemas de ingeniería social sofisticados, lo que habría resultado en el robo de millones de dólares.
Desde entonces, Coinbase afirmó haber reforzado sus protocolos de seguridad y desvinculado a los empleados implicados.
Traducido por Ledg3rX
