MEV-бот Yoink перехватил хакера и забрал 2882 rsETH

По данным CoinDesk, злоумышленник использовал уязвимость проверки разрешений в контракте Multicall, авторизованном мультиподписным кошельком Safe, и попытался перевести около 2900 rsETH (примерно 7,8 млн долларов США). Однако автоматизированный торговый бот Yoink обнаружил транзакцию в публичном торговом пуле, заплатил около 47 000 долларов США в виде комиссий, чтобы выполнить транзакцию первым, перехватил 2882 rsETH и перевёл их на другой адрес. BlockSec, Blockaid, Slow Mist и AstraSec подтвердили, что уязвимость находится в компонентах, авторизованных пользователем, а не в основном контракте Safe. Эмитент rsETH, Kelp DAO, ввёл 24-часовую приостановку операций по адресу получателя.