Ein Ethereum-MEV-Bot namens Yoink hat einem versuchten Safe-Wallet-Exploit mit 2.900 rsETH im Wert von etwa 7,8 Millionen US-Dollar durch Front-Running zuvorgekommen und fast 19 ETH gezahlt, um sich die erste Position im Block zu sichern.
Zusammenfassung
- Yoink erhielt 2.900 rsETH, bevor die ursprüngliche Exploit-Transaktion im selben Ethereum-Block zurückgesetzt wurde.
- Der Bot überwies 2.882,37 rsETH an eine separate Adresse und leitete 17,63 rsETH über Uniswap v4.
- BlockSec führte den Exploit auf schwache Autorisierungsprüfungen in einem Executor-Vertrag zurück, der mit einem Safe-Modul verbunden war.
- Blockaid erklärte, dass ein öffentlicher Keeper-Multicall den Angreifer Gelder durch einen bösartigen Hook-Pool leiten ließ.
Yoink-MEV-Bot nimmt die erste Position ein
PeckShield identifizierte den Vorfall als einen Angriff im Wert von etwa 7,81 Millionen US-Dollar unter Beteiligung von rsETH, einem Liquid-Restaking-Token, der mit KelpDAO verbunden ist, nachdem ein MEV-Bot seine Transaktion vor den mutmaßlichen Angreifer platziert hatte.
On-Chain-Aufzeichnungen, auf die sich Sicherheitsforscher berufen, zeigen, dass Yoink 2.900 rsETH im Ethereum-Block 25980525 erhielt. Von der Gesamtsumme überwies die Transaktion 2.882,37 rsETH an die Adresse 0xC70f00CD7E461686b04B0E912E309becA8b80ea0.
Zum Zeitpunkt der Überprüfung der Adresse betrug ihr Guthaben 2.882,36740883 rsETH. In den ersten Berichten wurde keine Überweisung von der Adresse beschrieben, und die verfügbaren Informationen identifizierten weder ihren Eigentümer noch stellten sie fest, ob die Gelder zurückgegeben würden.
Die verbleibenden 17,63 rsETH wurden an den Uniswap v4 Pool Manager überwiesen. Dem Transaktionspfad zufolge sandte der Pool Manager dann 18,95 ETH an den Yoink-Vertrag, der 18,93 ETH an den Block-Builder weiterleitete.
Die Zahlung fast des gesamten ETH-Betrags an den Builder ließ wenig direkten ETH-Gewinn aus diesem Teil der Transaktion übrig. Die große Zahlung scheint stattdessen als Gebot des Bots für die vorrangige Platzierung gedient zu haben, obwohl die zitierten Forscher keine vollständige Gewinnberechnung veröffentlichten, die die einbehaltenen rsETH oder andere Transaktionskosten abdeckt.
Sowohl Yoinks Transaktion als auch der ursprüngliche Exploit-Versuch landeten im Block 25980525. Yoink erschien an der Spitze des Blocks, während die ursprüngliche Transaktion später ausgeführt wurde und zurückgesetzt wurde. Sicherheitsforscher betrachteten die Reihenfolge und die fehlgeschlagene Folge-Transaktion als Beweis dafür, dass der Bot den Angriff erkannt und zuerst gehandelt hatte.
Ein solcher Wettbewerb beruht auf dem maximal extrahierbaren Wert, oder MEV, der aus der Kontrolle über die Aufnahme und Reihenfolge von Transaktionen stammt. Ein crypto.news-Leitfaden zu MEV vom Juni 2026 erklärte, dass Searcher ausstehende Aktivitäten nach profitablen Gelegenheiten durchsuchen, Transaktionsbündel zusammenstellen und Builder bezahlen, um sie an einer gewählten Position zu platzieren.
Safe-Modul-Prüfungen ermöglichten den Exploit-Pfad
BlockSec führte die zugrunde liegende Schwäche auf fehlerhafte Autorisierungsprüfungen in einem Executor-Vertrag zurück, der mit einem aktivierten Safe-Modul verbunden war. Nach Darstellung des Unternehmens konnten angreiferkontrollierte Aufrufe einen Executor passieren, den die Wallet als vertrauenswürdig behandelte.
Safe ist ein Smart-Contract-Wallet-System, das mehrere Unterzeichner erfordern kann, um Transaktionen zu genehmigen. Sein Modul-Framework ermöglicht es Kontoinhabern außerdem, Verträge hinzuzufügen, die bestimmte Aktionen unter vordefinierten Regeln ausführen können, wodurch die Notwendigkeit manueller Signaturen für jeden Vorgang verringert wird.
Ein aktiviertes Modul wird daher Teil der Sicherheitsgrenze der Wallet. Die Analyse von BlockSec deutet darauf hin, dass der betroffene Executor die Autorität hinter einem Aufruf nicht korrekt bestätigte, wodurch eine externe Partei über einen vertrauenswürdigen Weg auf Funktionen zugreifen konnte.
Der Bericht beschreibt ein Problem im Executor-Vertrag, der mit der Wallet-Konfiguration verbunden ist, und nicht einen Fehler im Konsenssystem von Ethereum. Die verfügbaren Details zeigen auch nicht, dass die Kern-Safe-Verträge kompromittiert wurden, sodass die Zuschreibung des Vorfalls an die gesamte Safe-Plattform über die Feststellungen der Sicherheitsfirmen hinausgehen würde.
Blockaid lieferte eine detailliertere Darstellung davon, wie der Angreifer versuchte, den Berechtigungsfehler auszunutzen. Dem Sicherheitsunternehmen zufolge griff der Angreifer auf einen öffentlichen Keeper-Multicall zu und lenkte ein benutzerdefiniertes Uniswap-v4-Liquiditätsmodul auf einen Hook-Pool unter der Kontrolle des Angreifers.
Uniswap-v4-Hooks sind Verträge, die benutzerdefinierte Anweisungen an festgelegten Punkten im Betrieb eines Pools ausführen können. Blockaid zufolge wurde der bösartig erstellte Hook-Pool dann verwendet, um aEthrsETH in rsETH zu entpacken und so die in der Transaktion anvisierten Token zu erzeugen.
Die Kombination einer öffentlichen Keeper-Funktion mit einer vertrauenswürdigen Ausführungsroute ermöglichte es dem Aufruf, die benutzerdefinierte Liquiditätseinrichtung zu erreichen, so die Analyse von Blockaid. Der Bot von Yoink erkannte die Gelegenheit, bevor der Angreifer sie abschließen konnte, und übermittelte eine konkurrierende Transaktion, die dieselbe Ausgabe erfasste.
Keine der in den bereitgestellten Berichten enthaltenen Aussagen identifiziert den mutmaßlichen Angreifer, den Yoink-Betreiber oder den Block-Builder. Die Berichte gaben auch nicht an, ob eine Rückgewinnungsvereinbarung, eine Kopfgeldverhandlung oder ein rechtliches Verfahren begonnen wurde.
Die rsETH-Transaktion trägt zu den DeFi-Verlusten 2026 bei
Der versuchte Abzug ereignete sich in einem Jahr schwerer Verluste im gesamten dezentralen Finanzwesen. Ein September-Bericht über DeFi-Sicherheitsverluste zitierte Schätzungen von CertiK und Forbes, denen zufolge Protokolle in den ersten acht Monaten des Jahres 2026 mindestens 1,3 Milliarden US-Dollar durch Exploits verloren.
Der Bericht stellte fest, dass kompromittierte Anmeldedaten und privilegierter Zugriff traditionelle Smart-Contract-Fehler als Hauptursache für Verluste nach Wert abgelöst haben. Der Yoink-Vorfall unterscheidet sich in seiner berichteten Mechanik, da BlockSec die Öffnung auf die Autorisierungslogik innerhalb eines Executors zurückführte, der mit einem Safe-Modul verbunden ist.
rsETH ist in diesem Jahr auch in einem separaten größeren Sicherheitsvorfall aufgetreten. Im April prägte ein Angreifer 116.500 nicht gedeckte rsETH, nachdem er die Infrastruktur kompromittiert hatte, die mit einem LayerZero-Verifier verbunden ist, so die frühere Berichterstattung. Der Angreifer verwendete die Token dann als Sicherheit bei Aave, um andere Vermögenswerte zu leihen.
Sicherheitsforscher haben den April-Vorfall nicht mit der Transaktion in Block 25980525 in Verbindung gebracht. Die beiden Ereignisse betrafen unterschiedliche berichtete Schwachstellen, und der jüngste Fall betraf einen versuchten Transfer von 2.900 bestehenden rsETH über einen Wallet-Ausführungspfad.
US-Behörden haben einige MEV-Schemata als Betrug behandelt
Für US-Nutzer zeigt die Yoink-Transaktion auch, warum der Begriff „Front-Running“ allein nicht den rechtlichen Status eines On-Chain-Handels klärt. Bundesbehörden haben bestimmte MEV-Operationen verfolgt, wenn Staatsanwälte behaupteten, dass ihre Betreiber Täuschung einsetzten oder Systeme manipulierten, um Gelder zu erlangen.
Im Mai 2024 beschuldigte das US-Justizministerium zwei Brüder wegen eines angeblichen Ethereum-Schemas, das in etwa 12 Sekunden rund 25 Millionen US-Dollar in Kryptowährung erlangte. Die Staatsanwaltschaft behauptete, dass Anton und James Peraire-Bueno den Prozess manipulierten, den Ethereum-Händler zur Orderung von Transaktionen nutzten, und betrügerisch Zugang zu ausstehenden privaten Transaktionen erlangten.
Das Justizministerium beschuldigte die Brüder der Verschwörung zum Betrug per Draht, des Betrugs per Draht und der Verschwörung zur Geldwäsche. Seine Vorwürfe betrafen die Methoden, die angeblich verwendet wurden, um die Handelsinformationen zu erlangen und den Prozess zu manipulieren, und nicht die Behandlung jeder Transaktionsreihenfolge-Strategie als automatisch strafbar.
Keine US-Regulierungsbehörde oder Strafverfolgungsbehörde hat auf Grundlage der bereitgestellten Informationen eine Maßnahme im Zusammenhang mit Yoink oder dem versuchten rsETH-Exploit angekündigt. Die zitierten Blockchain-Sicherheitsfirmen haben ihre Feststellungen auf die Transaktionsreihenfolge, die Autorisierungsprüfungen des Safe-verbundenen Executors und die Uniswap-v4-Hook-Route beschränkt, die zum Entpacken von aEthrsETH verwendet wurde.
