Yoink adlı bir MEV botu, bir Safe cüzdanındaki $7.8 million exploit'i front-run etmek için gaz ücreti olarak yaklaşık $47,000 ödedi, bu da saldırganı boş bırakırken cüzdan sahibini yine de boşaltmış oldu. İşlem sıralama çıkarma üçüncü bir avcı haline geldi ve hırsızlardan rasyonel yanıt özel gitmek oldu.
Ana çıkarımlar
- Bir saldırgan, cüzdan sahibinin Safe akıllı hesap cüzdanında beyaz listeye eklediği özel bir Multicall yardımcı modülündeki hatalı yapılandırılmış yetkilendirme kontrolünden yararlanarak yaklaşık $7.8 milyon değerinde rsETH boşaltmayı denedi.
- Yoink adlı bir maksimal çıkarılabilir değer (MEV) botu, aynı saldırıyı ilk olarak yürütmek için yaklaşık $47,000 gas ödeyerek exploiti önceden gerçekleştirdi ve 2,882 rsETH yakaladı.
- Saldırgan hiçbir şey kazanmadı, cüzdan sahibi fonları kaybetti ve bot bunları tuttu, bu sırada Blockaid, BlockSec, SlowMist ve PeckShield olayı gerçek zamanlı izledi ancak müdahale edemedi.
- Bu, bir botun günü kurtardığı bir hikaye değil. İşlem sırası çıkarımının üçüncü bir yırtıcı haline geldiğini ve mağdurun hangi taraf kazanırsa kazansın kaybettiğini gösteriyor.
15 Eylül 2026 sabahı, bir saldırgan gerçek bir Ethereum cüzdanında gerçek bir güvenlik açığı buldu ve teknik olarak temiz bir $7.8 milyonluk saldırı gerçekleştirdi. Hiçbir şey elde edemedi. Yoink adlı bir bot işlemi gördü, yaklaşık $47,000 gas ödeyerek önceden yürüttü ve tüm getiriyi aldı. Kesinlikle her şeyi kaybeden tek taraf, saldırgan önce gelmiş olsaydı her şeyi kaybedecek olan cüzdan sahibi oldu.
MEV nedir ve neden saldırgana her şeyi maliyetlendi?
MEV, en fazla çıkarılabilir değer, bir programın hangi işlemlerin bir bloğa gireceğini ve hangi sırada gireceğine karar vererek yakalayabileceği kardır. Ethereum'a gönderilen bir işlem, bir doğrulayıcı tarafından alınana kadar genel bir kuyrukta, mempool'de bekler. Herkes o kuyruktaki şeyleri görebilir. Bir MEV botu onu izler, kâr sağlayacak bir işlemi tanımlar ve daha yüksek bir gaz ipucu ile bir kopyasını gönderir ki kendi versiyonu önce yerleşsin.
Saldırgan bir pahalı hata yaptı: exploit genel mempool'e yayımlandı. O andan itibaren ağdaki her MEV botu işlemi進行中 olarak görebildi. Yoink bunu simüle etti, 2,882 rsETH (yaklaşık $7.8 million değerinde) hareket ettireceğini sonuçlandırdı ve hesapları yaptı. $47,000 gaz ödeyerek, değerin yaklaşık %0.6'sı karşılığında, kalan %99.4'ü yakalamak zor bir işlem değil.
Temel zafiyet, cüzdan sahibinin bir Safe cüzdanında beyaz listeye aldığı özel bir Multicall yardımcı modülündeki yanlış yapılandırılmış yetkilendirme kontrolüydü. Kontrol, hedef adresi değil, çağıranın kimliğini doğruluyordu; bu nedenle modülün kendisini hedef olarak belirleyen herkes tam yürütme haklarını elde etti. Saldırgan, cüzdanın aEthrsETH varlığını (Kelp DAO'nun rsETH'sinin Aave sarmalı versiyonu), tokenları sarmalayıp boşaltan özel bir kancaya sahip kötü niyetli bir Uniswap v4 havuzundan geçirdi. İstismar gerçekti. Yazarı sadece çok yavaştı.
Bir bot bir saldırganı yendiğinde kim kazanır?
Skor tablosu, bu olaydaki en dürüst şeydir. Cüzdan sahibi 7,8 milyon $ kaybetti. Saldırgan gaz ücretini kaybetti ve hiçbir şey kazanamadı. Yoink, 2.882 rsETH'yi kendi adresine taşıdı. Kimse kimseyi kurtarmadı. Bot saldırıyı durdurmadı, cüzdan sahibini uyarımadı veya kolluk kuvvetleriyle iletişime geçmedi. Aynı istismarı daha hızlı çalıştırdı ve geliri kendine sakladı.
Hikayenin tatmin edici versiyonu, bir bot tarafından out-hacklenen bir saldırgan, mağdurun bakiyesiyle temas edince hayatta kalmaz. Cüzdan sahibi için sonuç, bir kişi veya bir program fonları boşaltırsa aynıdır. Para gitti, ve değişen tek şey şimdi hangi anonim adresin onu tuttuğudur. Otomatik versiyon muhtemelen daha kötüdür, çünkü bir değer transferini pazar verimliliğinin ince bir tabakasıyla sarar.
İkinci derece etkiler, ilkinkinden daha çirkindir. Saldırganlar, bir exploit'i public mempool'a yayınlamanın daha hızlı bir kopyalayıcıyı davet ettiğini öğrendi. Rasyonel yanıt, private mempool'ları ve bir işlemi bir blokta olana kadar gizleyen block builder'lara doğrudan gönderimleri kullanarak özel gitmektir. Bu, saldırıların bir sonraki nesnini daha az görünür, izlemesi daha zor ve tam başarması daha olası hale getirir. Bu olay zinciri daha güvenli hale getirmedi. Hırsızları daha sessiz olmaya öğretti.
Karanlık orman üçüncü bir avcı yetiştirdi
Metafor, 2020 yılında yaygın olarak atıf yapılan bir araştırma denemesinden geliyor; deneme, bir botun çöplük fonların kurtarılması girişimini neredeyse front-run yapmasından sonra Ethereum'u bir karanlık orman olarak tanımlıyordu. Deneme, açıkta bırakılan herhangi bir değerli şeyin hemen avlandığı bir rakipsiz ortamı tanımlıyordu. Flashbots, yanıt olarak inşa edildi: işlemleri public mempool'dan uzak tutan özel bir kanal ve public mempool'un zaten bir çekişme bölgesi haline geldiğinin bir itirafı.
2026'da değişen şey hiyerarşidir. Yıllardır MEV botları çoğunlukla dar, savunulabilir işler yaptı: merkeziyetsiz borsalar arasında arbitraj, teminatsız kredilerin likidasyonu ve büyük işlemlerin back-running'i. Bu faaliyetler acımasızdır ama geniş ölçüde nötrdir, fiyatları uyumlu tutar ve kötü borçları sistemden dışarı iter. Yoink farklı davranır. Meşru bir işlem ile suçsu bir exploit arasında ayrım yapmaz. Kârı görür ve alır. Bu pazar verimliliği değildir; hem avı hem de diğer avcıları tüketen bir avcılık işidir.
Botun bir geçmişi var. Aynı ismi kullanarak Ağustos 2024'te Ronin bridge exploit'ini front-run yapan bir frontrunner, $10 million'dan fazla yakaladı, ardından çoğunu geri döndürdü ve $500,000'i bug bounty olarak tuttu, bu da ona kibar bir korsan olarak üne kattı. Bu sefer kibarliğin hiçbir işareti yok. Şartlar, kısmi iade artı ücretten tam tutara taşındı.
Bu, on-chain operatörler için ne anlama geliyor
Fiyat konuşmalarını ayırın ve operasyonel resim çarpıcı. On-chain'de aktif herkes aynı anda iki şeye karşı koruma sağlıyor: exploit'ler ve extraction, ve bu iki tehdit artık aynı maskenin altında. Exploit tek risk değil. Front-run riskidir.
Bu, ciddi bir DeFi operasyonunun nasıl davranması gerektiğini değiştirir. Anında anlamlı değer üretecek herhangi bir işlem için özel relay'ler veya şifreli mempool'lar kullanın. Akıllı cüzdan cüzdanına bağlı her özel modülü, hook'u veya yardımcı sözleşmeyi denetleyin, çünkü o kod cüzdanın kontrol ettiği her şeyin anahtarlarını tutar ve tek bir hatalı kontrol yeterlidir. Herhangi bir büyük veya otomatik operasyonun kamuya açık yayınlandığında, parayı kim hak ediyor konusunda daha hızlı ve tarafsız bir program tarafından kopyalanacağını varsayın.
Güvenlik endüstrisinin rolü aynı denetimi hak ediyor. Dört firma, Blockaid, BlockSec, SlowMist ve PeckShield, bu exploit'i gerçek zamanlı tespit etti. Hiçbiri bunu durduramadı, tersine çeviremedi veya cüzdan sahibi için fonları geri getiremedi. Müdahale olmadan tespit, son kullanıcı için bir güvenlik ürünü yerine bir gözetim ürünüdür.
Bu nereye gidiyor
Bir ila üç yıl içinde seyir çizmek kolay. Özel ve şifreli mempool'lar, maddi değer tutan herkes için varsayılan hale geliyor, bu da MEV'yi onları çalıştırmak için altyapıya sahip daralan bir operatör çevresine yoğunlaştırıyor. Bu, extraction endüstrisini ortadan kaldırmak yerine konsolide ediyor: blok zincirlerinin kaldırmayı amaçladığı yapı olan, ücret alan az sayıda aracı. Düzenleyiciler sonunda açık soruya ulaşacak. Bir program, bir hırsızdan daha hızlı olarak $7.8 milyon çıkarıyorsa, bu hırsızlık mı yoksa bir piyasa mı? Cevap, MEV'nin meşru altyapı olarak mı yoksa otomatik front-running olarak mı muamele edileceğine karar verecek.
Bu arada mağdur koruma boşluğu genişliyor. Her bir ilerleme katmanı, daha hızlı botlar, özel mempool'lar, daha karmaşık akıllı hesap modülleri, sıradan kullanıcıyı daha zor bir hedef yerine daha yumuşak bir hedef haline getiriyor. Avcılar keskinleşmeye, avlar ise savunması daha pahalıya mal olmaya devam ediyor.
Sektörün kaçındığı soru
Bu olay, endüstrinin cevaplamayı tercih etmediği bir soruyu gündeme getiriyor. Eğer bir bot, aynı şeyi çalan hırsızdan daha hızlı hareket ederek bir cüzdan sahibinden $7.8 milyon alabiliyorsa, bot ile saldırganı ne ayırıyor? Hız? Anonimlik? Klavyede insan elinin olmaması? Bunların hiçbiri ahlaki bir ayrım değil. Hepsi kozmetik ayrımlar.
MEV, on yıl boyunca şeffaf, izin gerektirmeyen bir piyasanın kaçınılmaz bedeli olarak rasyonelleştirildi. Bu rasyonelleştirme, yumuşak odak olmadan şöyle görünüyor: kurbanı da bir suçlu olduğu için zeki olarak kutlanan otomatik bir değer transferi. Kurban asla saldırgan değildi. Kurban her halükarda $7.8 milyon kaybeden taraftı, ve şimdi fonları elinde tutan botla bir ödül pazarlığı yapması bekleniyor, çünkü alternatif hiçbir şey yok.
Karanlık orman kim olduğunuzla ilgilenmez. Daha da kararıyor.
SSS: MEV botu nedir?
Bir MEV botu, Ethereum mempool'ünü (bekleyen işlemlerin genel kuyruğunu) izleyen ve daha yüksek gaz ücreti ödeyerek karlı işlemleri önceden çalıştırarak (front-run) kendi kopyasının önce işlenmesini sağlayan otomatik bir programdır. Bu durumda bot, 15 Eylül 2026'da bir istismarı önceden çalıştırdı ve yaklaşık 7,8 milyon dolar değerinde rsETH yakaladı.
SSS: Cüzdan sahibi fonları geri aldı mı?
Olay itibarıyla, hayır. 2.882 rsETH, Yoink operatörü tarafından kontrol edilen bir adreste duruyor ve geri alma konusunda herhangi bir resmi onay yok. Geri alma için gerçekçi yol, operatöre bir ödül teklif eden on-chain bir müzakere, 2024 Ronin köprüsü front-run olayından sonra izlenen yoldur.
SSS: Botun yaptığı yasal mı?
Yasal olarak belirsizdir. Çalınan mülkü ele geçirmek, ele geçiren tarafına otomatik olarak mülkiyet sağlamaz ve fonlar çoğu yasal sistemde orijinal mağdurun malı kalır. Kamu blok zincirinde anonim bir program karşısında bir talep ileri sürmek, pratikte neredeyse imkansızdır.
SSS: Safe veya Kelp DAO suçlu mu?
Hayır. Güvenlik açığı, cüzdan sahibinin Safe cüzdanına eklediği özel bir Multicall yardımcı modülündeydi, Safe'in temel sözleşmelerinde veya rsETH'in kendisinde değil. Kelp DAO, rsETH'in tamamen teminatlı kaldığını ve önlem olarak yalnızca tek etkilenen adresin durdurulduğunu belirtti.
SSS: Bir kullanıcı front-run (önce koşma) saldırısından nasıl kaçınabilir?
Değer yaratan işlemler için özel relay'ler veya şifreli mempool'lar kullanın, akıllı sözleşme cüzdanına eklenen her özel modülü denetleyin, ve kâr yaratan herkese açık bir işlemin, daha hızlı bir program tarafından kopyalanacağını varsayın.