Một bot MEV Ethereum có tên Yoink đã chạy trước (front-run) một nỗ lực khai thác ví Safe liên quan đến 2.900 rsETH, trị giá khoảng 7,8 triệu USD, và đã trả gần 19 ETH để giành vị trí đầu tiên trong khối.
PeckShield đã xác định sự cố này là một cuộc tấn công trị giá khoảng 7,81 triệu USD liên quan đến rsETH, một token restaking lỏng được liên kết với KelpDAO, sau khi một bot MEV đặt giao dịch của mình lên trước kẻ tấn công bị nghi ngờ.
Các hồ sơ on-chain được các nhà nghiên cứu bảo mật trích dẫn cho thấy Yoink đã nhận 2.900 rsETH trong khối Ethereum 25980525. Từ tổng số, giao dịch đã gửi 2.882,37 rsETH đến địa chỉ 0xC70f00CD7E461686b04B0E912E309becA8b80ea0.
Tại thời điểm địa chỉ này được xem xét, số dư của nó là 2.882,36740883 rsETH. Không có giao dịch chuyển tiền nào từ địa chỉ này được mô tả trong các báo cáo ban đầu, và thông tin có sẵn không xác định chủ sở hữu của nó hoặc xác định liệu số tiền đó có được trả lại hay không.
Số 17,63 rsETH còn lại đã được chuyển đến Uniswap v4 Pool Manager. Theo đường dẫn giao dịch, Pool Manager sau đó đã gửi 18,95 ETH đến hợp đồng Yoink, hợp đồng này đã chuyển tiếp 18,93 ETH đến block builder.
Việc trả gần như toàn bộ số ETH cho builder đã khiến lợi nhuận ETH trực tiếp từ phần giao dịch đó rất nhỏ. Thay vào đó, khoản thanh toán lớn này dường như là giá thầu của bot để được ưu tiên vị trí, mặc dù các nhà nghiên cứu được trích dẫn không công bố tính toán lợi nhuận đầy đủ bao gồm số rsETH giữ lại hoặc các chi phí giao dịch khác.
Cả giao dịch của Yoink và nỗ lực khai thác ban đầu đều nằm trong khối 25980525. Yoink xuất hiện ở đầu khối, trong khi giao dịch ban đầu chạy sau và bị hoàn lại. Các nhà nghiên cứu bảo mật coi thứ tự này và giao dịch không thành công sau đó là bằng chứng cho thấy bot đã phát hiện ra cuộc tấn công và hành động trước.
Sự cạnh tranh như vậy dựa vào giá trị có thể trích xuất tối đa, hay MEV (maximal extractable value), đến từ việc kiểm soát việc đưa vào và sắp xếp thứ tự các giao dịch. Một hướng dẫn về MEV của crypto.news vào tháng 6 năm 2026 đã giải thích rằng các searcher quét các hoạt động đang chờ xử lý để tìm cơ hội sinh lời, tập hợp các gói giao dịch và trả tiền cho các builder để đặt chúng vào một vị trí đã chọn.
BlockSec đã quy điểm yếu cơ bản cho các kiểm tra ủy quyền bị lỗi trong một hợp đồng thực thi (executor contract) được kết nối với một module Safe được kích hoạt. Theo BlockSec, các lệnh gọi do kẻ tấn công kiểm soát có thể đi qua một executor mà ví coi là đáng tin cậy.
Safe là một hệ thống ví hợp đồng thông minh có thể yêu cầu nhiều người ký để phê duyệt giao dịch. Khung module của nó cũng cho phép chủ sở hữu tài khoản thêm các hợp đồng có thể thực hiện các hành động cụ thể theo các quy tắc được xác định trước, giảm nhu cầu ký thủ công cho mỗi hoạt động.
Một module được kích hoạt do đó trở thành một phần của ranh giới bảo mật của ví. Phân tích của BlockSec chỉ ra rằng executor bị ảnh hưởng đã không xác nhận đúng quyền hạn đằng sau một lệnh gọi, cho phép một bên ngoài tiếp cận các chức năng thông qua một tuyến đường đáng tin cậy.
Báo cáo mô tả một vấn đề trong hợp đồng executor liên quan đến cấu hình ví chứ không phải là một lỗ hổng trong hệ thống đồng thuận của Ethereum. Các chi tiết có sẵn cũng không cho thấy rằng các hợp đồng Safe cốt lõi đã bị xâm phạm, vì vậy việc quy kết sự cố này cho toàn bộ nền tảng Safe sẽ vượt quá những phát hiện của các công ty bảo mật.
Blockaid đã cung cấp một tài khoản chi tiết hơn về cách kẻ tấn công đã cố gắng sử dụng lỗi cấp phép. Theo công ty bảo mật, kẻ tấn công đã truy cập một public keeper multicall và hướng một module thanh khoản Uniswap v4 tùy chỉnh đến một hook pool dưới sự kiểm soát của kẻ tấn công.
Uniswap v4 hooks là các hợp đồng có thể chạy các hướng dẫn tùy chỉnh tại các điểm đặt trước trong hoạt động của một pool. Blockaid cho biết hook pool độc hại được tạo ra sau đó đã được sử dụng để giải nén aEthrsETH thành rsETH, tạo ra các token được nhắm mục tiêu trong giao dịch.
Việc kết hợp chức năng public keeper với một tuyến thực thi đáng tin cậy đã cho phép lệnh gọi đến thiết lập thanh khoản tùy chỉnh, theo phân tích của Blockaid. Bot của Yoink đã nhìn thấy cơ hội trước khi kẻ tấn công hoàn thành nó và gửi một giao dịch cạnh tranh đã thu được cùng một đầu ra.
Không có tuyên bố nào trong các báo cáo được cung cấp xác định kẻ tấn công bị nghi ngờ, nhà điều hành Yoink hoặc block builder. Các báo cáo cũng không nói liệu một thỏa thuận phục hồi, đàm phán tiền thưởng hay quy trình pháp lý đã bắt đầu hay chưa.
Việc cố gắng khai thác đã xảy ra trong một năm chịu nhiều tổn thất nặng nề trên toàn bộ tài chính phi tập trung (DeFi). Một báo cáo tháng 9 về thiệt hại bảo mật DeFi đã trích dẫn ước tính của CertiK và Forbes cho thấy các giao thức đã mất ít nhất 1,3 tỷ USD do các vụ khai thác trong tám tháng đầu năm 2026.
Báo cáo cho thấy các thông tin xác thực bị xâm phạm và quyền truy cập đặc quyền đã vượt qua các lỗi hợp đồng thông minh truyền thống trở thành nguồn thiệt hại chính theo giá trị. Sự cố Yoink khác biệt về cơ chế được báo cáo của nó vì BlockSec đã truy dấu lỗ hổng đến logic ủy quyền trong một executor được liên kết với một module Safe.
rsETH cũng đã xuất hiện trong một sự kiện bảo mật lớn riêng biệt trong năm nay. Vào tháng 4, một kẻ tấn công đã đúc 116.500 rsETH không có tài sản bảo đảm sau khi xâm nhập vào cơ sở hạ tầng liên quan đến một trình xác minh LayerZero, theo thông tin trước đó. Kẻ tấn công sau đó đã sử dụng các token này làm tài sản thế chấp trên Aave để vay các tài sản khác.
Các nhà nghiên cứu bảo mật chưa kết nối sự cố tháng 4 với giao dịch trong khối 25980525. Hai sự kiện này liên quan đến các điểm yếu được báo cáo khác nhau, và trường hợp mới nhất liên quan đến một nỗ lực di chuyển 2.900 rsETH hiện có thông qua một đường dẫn thực thi ví.
Đối với người dùng Hoa Kỳ, giao dịch Yoink cũng cho thấy tại sao thuật ngữ "front-running" không tự nó xác định tình trạng pháp lý của một giao dịch on-chain. Các cơ quan liên bang đã theo đuổi một số hoạt động MEV khi các công tố viên cáo buộc rằng những người điều hành của chúng đã sử dụng sự lừa dối hoặc giả mạo hệ thống để chiếm đoạt tiền.
Vào tháng 5 năm 2024, Bộ Tư pháp Hoa Kỳ đã buộc tội hai anh em về một kế hoạch Ethereum bị cáo buộc đã chiếm đoạt khoảng 25 triệu USD tiền điện tử trong vòng khoảng 12 giây. Các công tố viên cáo buộc rằng Anton và James Peraire-Bueno đã thao túng quy trình mà các nhà giao dịch Ethereum sử dụng để sắp xếp thứ tự các giao dịch và gian lận để giành quyền truy cập vào các giao dịch riêng tư đang chờ xử lý.
Bộ Tư pháp đã buộc tội hai anh em về tội âm mưu lừa đảo qua mạng, lừa đảo qua mạng và âm mưu rửa tiền. Các cáo buộc của họ liên quan đến các phương pháp bị cáo buộc được sử dụng để lấy thông tin giao dịch và thao túng quy trình, thay vì coi mọi chiến lược sắp xếp thứ tự giao dịch là tự động phạm tội.
Không có cơ quan quản lý hoặc cơ quan thực thi pháp luật nào của Hoa Kỳ đã công bố hành động liên quan đến Yoink hoặc nỗ lực khai thác rsETH dựa trên thông tin được cung cấp. Các công ty bảo mật blockchain được trích dẫn đã giới hạn phát hiện của họ trong việc sắp xếp thứ tự giao dịch, các kiểm tra ủy quyền của executor liên kết với Safe và tuyến đường Uniswap v4 hook được sử dụng để giải nén aEthrsETH.
ETH