Coinbase因智能合约漏洞损失代币
加密货币交易所Coinbase因智能合约配置错误,导致价值约30万美元的代币被盗。该事件源于与去中心化交易协议0x的"交换合约"相关的交易设置失误。被称为"最大可提取价值(MEV)机器人"的自动化程序利用这一漏洞,迅速将资金从Coinbase钱包转移至私人账户。
事件经过与技术原因
安全研究员"deeberiroz"发现该漏洞源于Coinbase意外向交换合约授予了代币批准权限。这类开源工具本仅用于执行交换操作,不应具备持有或支配代币的功能。但Coinbase某个钱包向该合约开放了过度权限,从而引发风险。
MEV机器人通过这一安全漏洞,在权限激活后立即转移了获批代币。这类程序长期存在于加密市场,通过重组区块链交易顺序获利。本次事件中,任何接触该合约者均可将代币转入私人账户。
官方回应与影响
Coinbase首席安全官Philip Martin公开声明称,损失仅涉及公司钱包且已隔离,用户资金未受影响。"这属于独立事件,客户资产完全安全。"他特别强调。
"deeberiroz"指出,MEV机器人长期伺机捕获对交换合约的错误授权,"最终通过Coinbase的失误达成目标"。尽管损失金额不大,但事件表明即便头部中心化平台也会面临自动化程序与合约安全风险。专家提醒,此类技术缺陷极易被高级自动化软件识别并利用。
MEV机器人运作机制与行业启示
这类程序可通过监控透明交易池,在以太坊等区块链系统中从代币上线、NFT铸造及流动性事件中获利。本次事件中,机器人持续追踪相关钱包并择机执行交易。
专家认为,行业亟需提升漏洞检测与预防管理能力。大型平台因微小交易设置失误可能导致重大损失,这再次凸显网络安全的关键性。该事件为区块链系统智能合约权限管理与企业钱包监督机制敲响警钟。