Un bot MEV Ethereum connu sous le nom de Yoink a devancé une tentative d'exploitation de portefeuille Safe impliquant 2 900 rsETH, d'une valeur d'environ 7,8 millions de dollars, et a payé près de 19 ETH pour s'assurer la première position dans le bloc.
PeckShield a identifié l'incident comme une attaque d'environ 7,81 millions de dollars impliquant des rsETH, un jeton de restaking liquide associé à KelpDAO, après qu'un bot MEV a placé sa transaction avant celle de l'attaquant présumé.
Les registres on-chain cités par les chercheurs en sécurité montrent que Yoink a reçu 2 900 rsETH dans le bloc Ethereum 25980525. Sur ce total, la transaction a envoyé 2 882,37 rsETH à l'adresse 0xC70f00CD7E461686b04B0E912E309becA8b80ea0.
Au moment où l'adresse a été examinée, son solde s'élevait à 2 882,36740883 rsETH. Aucun transfert depuis cette adresse n'a été décrit dans les rapports initiaux, et les informations disponibles n'ont pas permis d'identifier son propriétaire ni d'établir si les fonds seraient restitués.
Les 17,63 rsETH restants ont été déplacés vers le gestionnaire de pool Uniswap v4. Selon le chemin de transaction, le gestionnaire de pool a ensuite envoyé 18,95 ETH au contrat Yoink, qui a transféré 18,93 ETH au constructeur de bloc.
Payer la quasi-totalité du montant en ETH au constructeur a laissé peu de profit direct en ETH de cette partie de la transaction. Le paiement important semble plutôt avoir servi d'offre du bot pour un placement prioritaire, bien que les chercheurs cités n'aient pas publié de calcul de profit complet couvrant les rsETH conservés ou d'autres coûts de transaction.
La transaction de Yoink et la tentative d'exploitation originale ont toutes deux atterri dans le bloc 25980525. Yoink est apparue en tête du bloc, tandis que la transaction originale s'est exécutée plus tard et a été annulée. Les chercheurs en sécurité ont considéré l'ordonnancement et l'échec de la transaction de suivi comme une preuve que le bot avait détecté l'attaque et agi en premier.
Une telle concurrence repose sur la valeur maximale extractible, ou MEV, qui découle du contrôle de l'inclusion et de l'ordonnancement des transactions. Un guide crypto.news de juin 2026 sur le MEV expliquait que les "searchers" (chercheurs) scannent l'activité en attente pour des opportunités lucratives, assemblent des paquets de transactions et paient les constructeurs pour les placer dans une position choisie.
BlockSec a attribué la faiblesse sous-jacente à des vérifications d'autorisation défectueuses dans un contrat exécuteur lié à un module Safe activé. Selon l'entreprise, des appels contrôlés par l'attaquant pouvaient passer par un exécuteur que le portefeuille considérait comme fiable.
Safe est un système de portefeuille de contrats intelligents qui peut nécessiter plusieurs signataires pour approuver les transactions. Son cadre de modules permet également aux propriétaires de comptes d'ajouter des contrats qui peuvent effectuer des actions spécifiques selon des règles prédéfinies, réduisant ainsi le besoin de signatures manuelles pour chaque opération.
Un module activé fait donc partie du périmètre de sécurité du portefeuille. L'analyse de BlockSec indique que l'exécuteur affecté n'a pas réussi à confirmer correctement l'autorité derrière un appel, permettant à une partie externe d'atteindre des fonctions via une voie de confiance.
Le rapport décrit un problème dans le contrat exécuteur associé à la configuration du portefeuille plutôt qu'une faille dans le système de consensus d'Ethereum. Les détails disponibles ne montrent pas non plus que les contrats Safe de base ont été compromis, de sorte qu'attribuer l'incident à l'ensemble de la plateforme Safe irait au-delà des conclusions des entreprises de sécurité.
Blockaid a fourni un compte rendu plus détaillé de la manière dont l'attaquant a tenté d'utiliser l'échec d'autorisation. Selon l'entreprise de sécurité, l'attaquant a accédé à un multicall de "keeper" public et a dirigé un module de liquidité Uniswap v4 personnalisé vers un pool de "hook" sous le contrôle de l'attaquant.
Les "hooks" Uniswap v4 sont des contrats qui peuvent exécuter des instructions personnalisées à des points définis dans les opérations d'un pool. Blockaid a déclaré que le pool de "hook" créé de manière malveillante a ensuite été utilisé pour décompresser l'aEthrsETH en rsETH, produisant les jetons ciblés dans la transaction.
La combinaison d'une fonction de "keeper" publique avec une voie d'exécution de confiance a permis à l'appel d'atteindre la configuration de liquidité personnalisée, selon l'analyse de Blockaid. Le bot de Yoink a vu l'opportunité avant que l'attaquant ne la réalise et a soumis une transaction concurrente qui a capturé la même sortie.
Aucune déclaration incluse dans les rapports fournis n'identifie l'attaquant présumé, l'opérateur de Yoink ou le constructeur de bloc. Les rapports n'ont pas non plus indiqué si un accord de récupération, une négociation de prime ou une procédure judiciaire avait été entamé.
La tentative d'extraction s'est produite au cours d'une année de lourdes pertes dans la finance décentralisée. Un rapport de septembre sur les pertes de sécurité de la DeFi citait les estimations de CertiK et Forbes montrant que les protocoles ont perdu au moins 1,3 milliard de dollars suite à des exploits au cours des huit premiers mois de 2026.
Le rapport a révélé que les identifiants compromis et l'accès privilégié avaient dépassé les failles traditionnelles des contrats intelligents comme principale source de pertes en valeur. L'incident de Yoink diffère dans ses mécanismes rapportés parce que BlockSec a attribué l'ouverture à la logique d'autorisation au sein d'un exécuteur lié à un module Safe.
Les rsETH sont également apparus dans un autre événement de sécurité majeur cette année. En avril, un attaquant a frappé 116 500 rsETH non adossés après avoir compromis l'infrastructure liée à un vérificateur LayerZero, selon la couverture précédente. L'attaquant a ensuite utilisé les jetons comme garantie sur Aave pour emprunter d'autres actifs.
Les chercheurs en sécurité n'ont pas lié l'incident d'avril à la transaction du bloc 25980525. Les deux événements impliquaient différentes faiblesses signalées, et le dernier cas concernait une tentative de mouvement de 2 900 rsETH existants via un chemin d'exécution de portefeuille.
Pour les utilisateurs américains, la transaction Yoink montre également pourquoi le terme "front-running" ne règle pas à lui seul le statut juridique d'une transaction on-chain. Les autorités fédérales ont poursuivi certaines opérations MEV lorsque les procureurs ont allégué que leurs opérateurs avaient utilisé la tromperie ou manipulé des systèmes pour obtenir des fonds.
En mai 2024, le Département de la Justice des États-Unis a inculpé deux frères pour un prétendu stratagème Ethereum qui aurait obtenu environ 25 millions de dollars en cryptomonnaie en une douzaine de secondes. Les procureurs ont allégué qu'Anton et James Peraire-Bueno avaient manipulé le processus utilisé par les traders Ethereum pour ordonner les transactions et avaient frauduleusement accédé à des transactions privées en attente.
Le Département de la Justice a inculpé les frères de complot en vue de commettre une fraude électronique, de fraude électronique et de complot en vue de commettre un blanchiment d'argent. Ses allégations concernaient les méthodes prétendument utilisées pour obtenir les informations commerciales et manipuler le processus, plutôt que de traiter chaque stratégie d'ordonnancement des transactions comme automatiquement criminelle.
Aucun régulateur ou organisme d'application de la loi américain n'a annoncé d'action concernant Yoink ou la tentative d'exploitation des rsETH basée sur les informations fournies. Les entreprises de sécurité blockchain citées ont limité leurs conclusions à l'ordonnancement des transactions, aux vérifications d'autorisation de l'exécuteur lié à Safe et à la route de "hook" Uniswap v4 utilisée pour décompresser l'aEthrsETH.
ETH
