Il bot Yoink ruba 7,8 milioni di dollari da un wallet Gnosis Safe
Le società di sicurezza indicano un errore in un trusted helper contract, non nel core di Safe. Kelp DAO dice che rsETH resta coperto; inoltre l’attacco è stato superato da un bot di frontrunning.
In breve
- Un attaccante ha sottratto circa 2.900 rsETH, per un valore di 7,8 milioni di dollari, da un wallet Gnosis Safe su Ethereum.
- La transazione è stata frontrunnata dal bot Yoink, che ha pagato circa 47.000 dollari e ha inviato 2.882 rsETH a un altro indirizzo.
- L’errore stava in un controllo di autorizzazione di un trusted helper contract e di un contratto Multicall, non nei core contract di Safe.
Un attaccante ha prelevato su Ethereum circa 2.900 rsETH, per un valore di circa 7,8 milioni di dollari (€6,8 milioni), da un wallet Gnosis Safe. Secondo le società di sicurezza BlockSec, Blockaid e SlowMist, l’attacco è stato poi superato da un bot chiamato Yoink, che ha frontrunnato la transazione e ha inviato i token a un altro indirizzo.
Come ha funzionato l’attacco
Il wallet era configurato in modo che un helper contract potesse spostare fondi, una soluzione che si vede spesso tra chi automatizza il trading. Secondo SlowMist e BlockSec, quell’helper doveva controllare se chi chiamava avesse i permessi, ma il controllo ha finito per approvare chiunque fosse indicato come target dall’helper stesso.
L’attaccante ha poi convertito circa 2.900 rsETH in un pool di trading creato pochi minuti prima attorno a un token senza valore chiamato Permissionless Attacker Token. Così, per il wallet è rimasta una ricevuta che non valeva nulla. Secondo le società di sicurezza, Yoink ha pagato circa 47.000 dollari (€40.700) per avere la precedenza e alla fine ha portato via 2.882 rsETH verso un indirizzo separato.
L’errore stava in un componente fidato
AstraSec ha scritto su X che il problema principale stava in un controllo di autorizzazione sbagliato nel contratto Multicall. Anche altre società di sicurezza sono arrivate alla stessa conclusione: l’errore era in un componente di cui il proprietario del wallet si era fidato, non nei core contract di Safe.
Questa distinzione conta, perché molti utenti crypto attivano funzioni extra tramite wallet e helper contract per fare trading o automatizzare operazioni. Un’analisi precedente su decine di grandi attacchi a smart contract aveva già mostrato che gli exploit riusciti spesso non dipendono solo da un bug tecnico, ma anche da scelte umane e da ipotesi deboli su uso e autorizzazioni. Anche lo spostamento verso attacchi a chiavi e governance mostra che gli attaccanti puntano sempre più spesso all’anello più debole intorno ad accesso e gestione, non solo al codice in sé.
Perché è importante per gli utenti
Kelp DAO, l’emittente di rsETH, ha detto che i suoi contract sono sicuri e che rsETH è completamente coperto. L’azienda ha anche comunicato di aver messo in pausa per 24 ore un indirizzo che aveva ricevuto rsETH poche ore prima, così il token non può muoversi dentro o fuori da lì.
Per gli utenti crypto europei, questo incidente mostra che i rischi non stanno solo in un protocollo in sé, ma anche negli strati extra attorno ad esso, come helper contract e trading automatizzato. Proprio nei wallet che combinano più funzioni, un piccolo errore nel controllo degli accessi può bastare per causare una perdita enorme.
