MEV-бот Ethereum, відомий як Yoink, здійснив фронтраннінг спроби експлойту гаманця Safe, що включала 2 900 rsETH вартістю близько $7.8 мільйона, і заплатив майже 19 ETH, щоб забезпечити першу позицію в блоці.
PeckShield ідентифікував інцидент як атаку приблизно на $7.81 мільйона, що включала rsETH, ліквідний токен рестейкінгу, пов'язаний з KelpDAO, після того, як MEV-бот розмістив свою транзакцію перед транзакцією ймовірного зловмисника.
Ончейн-записи, на які посилаються дослідники безпеки, показують, що Yoink отримав 2 900 rsETH у блоці Ethereum 25980525. Із загальної суми транзакція надіслала 2 882.37 rsETH на адресу 0xC70f00CD7E461686b04B0E912E309becA8b80ea0.
На момент перевірки адреси її баланс становив 2 882.36740883 rsETH. У початкових звітах не було описано жодного переказу з цієї адреси, а доступна інформація не ідентифікувала її власника та не встановлювала, чи будуть кошти повернуті.
Залишок 17.63 rsETH перемістився до Uniswap v4 Pool Manager. Згідно з шляхом транзакції, Pool Manager потім відправив 18.95 ETH до контракту Yoink, який переслав 18.93 ETH будівельнику блоків.
Сплата майже всієї суми ETH будівельнику залишила мало прямого прибутку в ETH від цієї частини транзакції. Великий платіж, натомість, схоже, був ставкою бота за пріоритетне розміщення, хоча цитовані дослідники не опублікували повного розрахунку прибутку, що охоплює збережений rsETH або інші транзакційні витрати.
Як транзакція Yoink, так і початкова спроба експлойту потрапили в блок 25980525. Yoink з'явився на початку блоку, тоді як оригінальна транзакція була виконана пізніше і скасована. Дослідники безпеки розцінили порядок виконання та невдалу наступну транзакцію як доказ того, що бот виявив атаку і спрацював першим.
Така конкуренція ґрунтується на максимально видобутій цінності, або MEV, яка походить від контролю за включенням та порядком транзакцій. Посібник crypto.news з MEV за червень 2026 року пояснював, що пошуковці сканують очікувану активність на предмет прибуткових можливостей, збирають пакети транзакцій і платять будівельникам, щоб розмістити їх у вибраній позиції.
BlockSec приписав основну слабкість несправним перевіркам авторизації в контракті-виконавці, підключеному до активованого модуля Safe. За даними фірми, виклики, контрольовані зловмисником, могли проходити через виконавця, якого гаманець вважав довіреним.
Safe – це система гаманців смарт-контрактів, яка може вимагати кількох підписантів для схвалення транзакцій. Її модульна структура також дозволяє власникам облікових записів додавати контракти, які можуть виконувати певні дії за заздалегідь визначеними правилами, зменшуючи потребу в ручних підписах для кожної операції.
Таким чином, активований модуль стає частиною межі безпеки гаманця. Аналіз BlockSec показує, що уражений виконавець не зміг правильно підтвердити повноваження, що стоять за викликом, дозволяючи сторонній особі отримати доступ до функцій через довірений маршрут.
Звіт описує проблему в контракті-виконавці, пов'язаному з конфігурацією гаманця, а не ваду в системі консенсусу Ethereum. Доступні деталі також не показують, що основні контракти Safe були скомпрометовані, тому приписування інциденту всій платформі Safe виходило б за рамки висновків охоронних фірм.
Blockaid надав більш детальну інформацію про те, як зловмисник намагався використати збій дозволів. За даними компанії з безпеки, зловмисник отримав доступ до публічного keeper multicall і направив користувацький модуль ліквідності Uniswap v4 до пулу хуків під контролем зловмисника.
Хуки Uniswap v4 – це контракти, які можуть виконувати користувацькі інструкції у визначені моменти роботи пулу. Blockaid заявив, що зловмисно створений пул хуків потім використовувався для розпакування aEthrsETH в rsETH, виробляючи токени, на які була спрямована транзакція.
Поєднання функції публічного keeper з довіреним маршрутом виконання дозволило виклику досягти користувацької конфігурації ліквідності, згідно з аналізом Blockaid. Бот Yoink побачив можливість до того, як зловмисник її завершив, і подав конкуруючу транзакцію, яка захопила той самий вихід.
Жодна заява, включена до наданих звітів, не ідентифікує ймовірного зловмисника, оператора Yoink або будівельника блоків. У звітах також не було зазначено, чи було розпочато угоду про відновлення, переговори про винагороду або судовий процес.
Спроба вилучення сталася протягом року значних втрат у децентралізованих фінансах. Вересневий звіт про втрати безпеки DeFi посилався на оцінки CertiK і Forbes, які показують, що протоколи втратили щонайменше $1.3 мільярда через експлойти протягом перших восьми місяців 2026 року.
У звіті зазначено, що скомпрометовані облікові дані та привілейований доступ випередили традиційні недоліки смарт-контрактів як основне джерело втрат за вартістю. Інцидент Yoink відрізняється своїми описаними механізмами, оскільки BlockSec відстежив вразливість до логіки авторизації всередині виконавця, пов'язаного з модулем Safe.
rsETH також фігурував в окремій великій події безпеки цього року. У квітні зловмисник створив 116 500 незабезпечених rsETH після компрометації інфраструктури, пов'язаної з верифікатором LayerZero, згідно з попереднім висвітленням. Потім зловмисник використав ці токени як заставу на Aave для запозичення інших активів.
Дослідники безпеки не пов'язували квітневий інцидент з транзакцією в блоці 25980525. Дві події включали різні задекларовані слабкі місця, і останній випадок стосувався спроби переміщення 2 900 існуючих rsETH через шлях виконання гаманця.
Для користувачів із США транзакція Yoink також показує, чому термін "фронтраннінг" сам по собі не вирішує правовий статус ончейн-торгівлі. Федеральні органи переслідували певні операції MEV, коли прокурори стверджували, що їхні оператори використовували обман або втручалися в системи для отримання коштів.
У травні 2024 року Міністерство юстиції США висунуло звинувачення двом братам у зв'язку з імовірною схемою Ethereum, яка отримала близько $25 мільйонів у криптовалюті приблизно за 12 секунд. Прокурори стверджували, що Антон і Джеймс Перейра-Буено маніпулювали процесом, який використовували трейдери Ethereum для впорядкування транзакцій, і шахрайським шляхом отримали доступ до очікуючих приватних транзакцій.
Міністерство юстиції звинуватило братів у змові з метою вчинення шахрайства за допомогою електронних засобів, шахрайстві за допомогою електронних засобів та змові з метою відмивання грошей. Його звинувачення стосувалися методів, які нібито використовувалися для отримання торгової інформації та маніпулювання процесом, а не розглядалися кожна стратегія впорядкування транзакцій як автоматично злочинна.
Жоден регулятор або правоохоронний орган США не оголошував про дії, пов'язані з Yoink або спробою експлойту rsETH, на основі наданої інформації. Цитовані фірми з безпеки блокчейну обмежили свої висновки порядком транзакцій, перевірками авторизації виконавця, пов'язаного з Safe, та маршрутом хука Uniswap v4, який використовувався для розпакування aEthrsETH.
ETH