Coinbase perd $300.000 suite à une erreur dans les autorisations de jetons due au smart contract 0x

La plateforme d’échange de cryptomonnaies américaine Coinbase aurait perdu environ 300 000 $ après avoir par inadvertance accordé des approbations de jetons à un contrat intelligent du projet 0x. Cette erreur a permis à un bot de valeur extractible maximale (MEV) de retirer immédiatement les jetons.

Un chercheur en sécurité découvre une faille

L’incident a été révélé par le chercheur en sécurité DeBeez de Venn Network dans un message sur X. Selon lui, le portefeuille d’entreprise de Coinbase a interagi avec le contrat “Swapper” de 0x — un outil permettant d’effectuer des swaps sans autorisation explicite, mais pour lequel aucune approbation de jeton n’aurait dû être accordée.

Parce que tout le monde peut appeler le contrat pour des actions arbitraires, accorder des approbations peut entraîner un vol immédiat de cryptomonnaies. DeBeez a évoqué des incidents précédents au cours desquels le même swapper a été exploité, notamment lors d’opérations de claim Zora, sans qu’il y ait de vulnérabilité du code.

Le bot MEV a frappé immédiatement

D’après des captures d’écran partagées, Coinbase a accordé des approbations pour, entre autres, AMP, MyoneProtocol, Dextools et Swell Network. Peu après, un bot MEV a activé le contrat swapper afin de transférer les jetons approuvés depuis le compte de frais de Coinbase vers ses propres adresses.

Selon DeBeez, “le bot était à l’affût dans l’ombre” et attendait que des utilisateurs approuvent mal le contrat. “Leur rêve s’est réalisé grâce à Coinbase”, a écrit le chercheur.

Coinbase : aucun fonds client touché

Philip Martin, Chief Security Officer de Coinbase, a confirmé l’incident et l’a qualifié de “problème isolé” causé par une modification de configuration dans l’un des portefeuilles DEX de l’entreprise.

“Aucun fonds client n’a été touché”, a souligné Martin. Il a indiqué que les approbations de jetons avaient depuis été révoquées et que les fonds restants de l’entreprise avaient été transférés vers un nouveau portefeuille d’entreprise.

Attaques MEV précédentes dans l’univers des cryptomonnaies

L’incident s’inscrit dans une série d’attaques récentes visant des bots MEV. En avril, un bot MEV a perdu 180 000 $ d’Ethereum après l’exploitation d’un système de contrôle d’accès faible. En 2023, un validateur malveillant est même parvenu à dérober 25 millions de dollars d’actifs numériques en utilisant des transactions dites sandwich.