周二，以太坊上一笔针对 Safe 钱包的攻击交易被一名叫 Yoink 的 MEV 机器人抢先执行。PeckShield将这起事件描述为一笔约 781 万美元的 rsETH 利用事件。
链上转账路径
链上记录显示，Yoink 这笔交易收到 2,900 rsETH，并向地址 0xC70f00CD7E461686b04B0E912E309becA8b80ea0 转出 2,882.37 rsETH。检查时，Etherscan 显示该地址余额为 2,882.36740883 rsETH。
同一笔交易还向 Uniswap 的 v4 Pool Manager 发送了 17.63 rsETH。随后，该池子向 Yoink 合约转出 18.95 ETH，而 Yoink 合约又向区块构建者转出 18.93 ETH。
同一区块内的执行顺序
Yoink 交易和原始攻击交易都进入了以太坊区块 25980525，时间为美国东部时间凌晨 12:38。Yoink 交易位于该区块的第 0 个位置，原始攻击交易则在执行时发生 revert。
这一排序与安全研究人员的判断一致，即 Yoink 抢跑了原始攻击交易。
漏洞成因指向模块授权检查
BlockSec 表示，这次利用源于一个执行器合约中的授权检查缺陷，该执行器与一个已启用的 Safe 模块相连。该公司称，由攻击者控制的调用可以通过这个受信任的执行器被执行。
Blockaid 表示，攻击者利用一个公开的 keeper multicall，将一个定制的 Uniswap v4 流动性模块导向一个由攻击者创建、带 hook 的池子。随后，这个 hook 将 aEthrsETH 解包为 rsETH。
BlockSec 还称，这次利用将约 2,900 枚 aEthrsETH 转入一个 Uniswap v4 资金池，该池与一种名为 Permissionless Attacker Token 的代币配对，结果让该 Safe 钱包留下了一个流动性头寸 NFT。
根据 Blockaid 的说法，被识别出的目标是一名身份未披露用户使用、带有定制模块的 Safe 钱包。
在检查时，接收 Yoink 交易中 2,882.37 rsETH 的地址，显示余额为 2,882.36740883 rsETH。