یک ربات MEV اتریوم به نام یوینک (Yoink)، یک تلاش برای اکسپلویت کیف پول Safe را که شامل 2,900 واحد rsETH به ارزش تقریبی 7.8 میلیون دلار بود، پیش‌دستی کرده و با پرداخت نزدیک به 19 ETH، جایگاه اول را در بلاک به دست آورد.

ربات MEV یوینک جایگاه اول را به دست آورد

پک‌شیلد (PeckShield) این رویداد را یک حمله تقریباً 7.81 میلیون دلاری شامل rsETH، یک توکن لیکوئید ری‌استیکینگ (liquid restaking token) مرتبط با KelpDAO، شناسایی کرد؛ این اتفاق پس از آن رخ داد که یک ربات MEV تراکنش خود را جلوتر از مهاجم مظنون قرار داد.

سوابق درون زنجیره‌ای که توسط محققان امنیتی ذکر شده، نشان می‌دهد که یوینک 2,900 واحد rsETH را در بلاک 25980525 اتریوم دریافت کرده است. از کل این مقدار، تراکنش 2,882.37 واحد rsETH را به آدرس 0xC70f00CD7E461686b04B0E912E309becA8b80ea0 ارسال کرد.

در زمان بررسی آدرس، موجودی آن 2,882.36740883 واحد rsETH بود. در گزارش‌های اولیه هیچ انتقالی از این آدرس توضیح داده نشده و اطلاعات موجود نیز مالک آن را مشخص نکرده یا اینکه آیا وجوه بازگردانده خواهند شد یا خیر.

17.63 واحد rsETH باقی‌مانده به مدیر استخر یونی‌سواپ نسخه 4 (Uniswap v4 Pool Manager) منتقل شد. طبق مسیر تراکنش، مدیر استخر سپس 18.95 ETH را به قرارداد یوینک ارسال کرد که 18.93 ETH را به سازنده بلاک (block builder) منتقل نمود.

پرداخت تقریباً تمام مبلغ ETH به سازنده، سود مستقیم ETH کمی از آن بخش از تراکنش باقی گذاشت. این پرداخت بزرگ به جای آن، به نظر می‌رسد به عنوان پیشنهاد ربات برای قرارگیری با اولویت بالا عمل کرده است، اگرچه محققان ذکر شده یک محاسبه کامل سود شامل rsETH نگهداری شده یا سایر هزینه‌های تراکنش را منتشر نکردند.

هم تراکنش یوینک و هم تلاش اصلی اکسپلویت در بلاک 25980525 قرار گرفتند. یوینک در بالای بلاک ظاهر شد، در حالی که تراکنش اصلی بعداً اجرا شد و برگشت خورد. محققان امنیتی ترتیب و تراکنش ناموفق بعدی را به عنوان شواهدی مبنی بر اینکه ربات حمله را شناسایی کرده و ابتدا اقدام کرده است، تلقی کردند.

چنین رقابتی به حداکثر ارزش قابل استخراج (Maximal Extractable Value) یا MEV متکی است، که از کنترل گنجاندن و ترتیب تراکنش‌ها نشأت می‌گیرد. یک راهنمای MEV از crypto.news در ژوئن 2026 توضیح داد که جستجوگرها (searchers) فعالیت‌های در انتظار را برای یافتن فرصت‌های سودآور اسکن می‌کنند، بسته‌های تراکنش را جمع‌آوری می‌کنند و به سازندگان (builders) پول می‌دهند تا آن‌ها را در موقعیت انتخابی قرار دهند.

بررسی‌های ماژول Safe مسیر اکسپلویت را ممکن ساخت

BlockSec ضعف اساسی را به بررسی‌های مجوزدهی معیوب در یک قرارداد اجرایی (executor contract) مرتبط با یک ماژول فعال شده Safe نسبت داد. طبق گزارش این شرکت، فراخوانی‌های کنترل‌شده توسط مهاجم می‌توانستند از طریق یک اجراکننده (executor) که کیف پول آن را قابل اعتماد می‌دانست، عبور کنند.

Safe یک سیستم کیف پول قرارداد هوشمند است که می‌تواند برای تأیید تراکنش‌ها به چندین امضاکننده نیاز داشته باشد. چارچوب ماژول آن همچنین به صاحبان حساب اجازه می‌دهد تا قراردادهایی را اضافه کنند که می‌توانند اقدامات خاصی را تحت قوانین از پیش تعریف شده انجام دهند و نیاز به امضای دستی در هر عملیات را کاهش دهند.

بنابراین، یک ماژول فعال شده بخشی از مرز امنیتی کیف پول می‌شود. تحلیل BlockSec نشان می‌دهد که اجراکننده آسیب‌دیده نتوانسته است هویت پشت یک فراخوانی را به درستی تأیید کند، و به یک طرف خارجی اجازه داده تا از طریق یک مسیر مورد اعتماد به توابع دسترسی پیدا کند.

این گزارش مشکلی را در قرارداد اجراکننده مرتبط با پیکربندی کیف پول توصیف می‌کند، نه نقصی در سیستم اجماع اتریوم. جزئیات موجود همچنین نشان نمی‌دهد که قراردادهای اصلی Safe به خطر افتاده‌اند، بنابراین نسبت دادن این حادثه به کل پلتفرم Safe فراتر از یافته‌های شرکت‌های امنیتی خواهد بود.

Blockaid جزئیات بیشتری از چگونگی تلاش مهاجم برای استفاده از نقص مجوزدهی ارائه داد. به گفته این شرکت امنیتی، مهاجم به یک فراخوانی عمومی چندگانه (public keeper multicall) دسترسی پیدا کرده و یک ماژول نقدینگی سفارشی یونی‌سواپ نسخه 4 (Uniswap v4) را به سمت یک استخر هوک (hook pool) تحت کنترل مهاجم هدایت کرده است.

هوک‌های یونی‌سواپ نسخه 4 (Uniswap v4 hooks) قراردادهایی هستند که می‌توانند دستورالعمل‌های سفارشی را در نقاط مشخصی از عملیات یک استخر اجرا کنند. Blockaid اعلام کرد که استخر هوک مخرب ایجاد شده سپس برای باز کردن بسته‌بندی aEthrsETH به rsETH استفاده شد و توکن‌های مورد نظر در تراکنش را تولید کرد.

بر اساس تحلیل Blockaid، ترکیب یک تابع کیپر عمومی با یک مسیر اجرای قابل اعتماد، به فراخوانی اجازه داد تا به تنظیمات نقدینگی سفارشی دست یابد. ربات یوینک فرصت را قبل از اینکه مهاجم آن را تکمیل کند، مشاهده کرد و یک تراکنش رقابتی را ارسال کرد که همان خروجی را به دست آورد.

هیچ بیانیه‌ای در گزارش‌های ارائه شده، مهاجم مظنون، اپراتور یوینک یا سازنده بلاک را شناسایی نکرده است. همچنین گزارش‌ها اشاره‌ای به شروع توافق بازیابی، مذاکره برای جایزه یا روند قانونی نکرده‌اند.

تراکنش rsETH به ضررهای دیفای در سال 2026 می‌افزاید

این تلاش برای استخراج در سالی رخ داد که ضررهای سنگینی در سراسر امور مالی غیرمتمرکز (DeFi) به بار آمد. گزارشی در ماه سپتامبر در مورد ضررهای امنیتی دیفای، به تخمین‌های سرتیک (CertiK) و فوربس (Forbes) اشاره کرد که نشان می‌دهد پروتکل‌ها حداقل 1.3 میلیارد دلار را به دلیل اکسپلویت‌ها در هشت ماه اول سال 2026 از دست داده‌اند.

این گزارش نشان داد که اعتبارنامه‌های به خطر افتاده و دسترسی‌های ممتاز، به عنوان منبع اصلی ضرر از نظر ارزش، از خطاهای سنتی قرارداد هوشمند پیشی گرفته‌اند. حادثه یوینک از نظر مکانیسم گزارش شده متفاوت است زیرا BlockSec منشأ این فرصت را به منطق مجوزدهی در یک اجراکننده مرتبط با ماژول Safe ردیابی کرد.

rsETH همچنین در یک رویداد امنیتی مهم دیگر در سال جاری ظاهر شده است. در ماه آوریل، طبق پوشش خبری قبلی، مهاجمی 116,500 واحد rsETH بدون پشتوانه را پس از به خطر انداختن زیرساخت مرتبط با یک تأییدکننده لایه‌زیرو (LayerZero verifier) مینت کرد. مهاجم سپس از این توکن‌ها به عنوان وثیقه در آوه (Aave) برای قرض گرفتن سایر دارایی‌ها استفاده کرد.

محققان امنیتی حادثه آوریل را به تراکنش در بلاک 25980525 مرتبط ندانسته‌اند. این دو رویداد شامل ضعف‌های گزارش شده متفاوتی بودند، و مورد اخیر مربوط به تلاش برای انتقال 2,900 واحد rsETH موجود از طریق مسیر اجرای کیف پول بود.

مقامات ایالات متحده برخی طرح‌های MEV را به عنوان کلاهبرداری تلقی کرده‌اند

برای کاربران ایالات متحده، تراکنش یوینک همچنین نشان می‌دهد که چرا اصطلاح «پیش‌دستی کردن» (front-running) به خودی خود وضعیت قانونی یک معامله درون زنجیره‌ای را حل نمی‌کند. مقامات فدرال برخی عملیات MEV را پیگیری کرده‌اند، زمانی که دادستان‌ها ادعا کردند که اپراتورهای آن‌ها از فریب یا دستکاری سیستم‌ها برای به دست آوردن وجوه استفاده کرده‌اند.

در ماه مه 2024، وزارت دادگستری ایالات متحده دو برادر را به دلیل یک طرح ادعایی در اتریوم که حدود 25 میلیون دلار ارز دیجیتال را در تقریباً 12 ثانیه به دست آورده بود، متهم کرد. دادستان‌ها ادعا کردند که آنتون و جیمز پرایر-بوئنو (Anton and James Peraire-Bueno) فرآیندی را که معامله‌گران اتریوم برای سفارش تراکنش‌ها استفاده می‌کردند، دستکاری کرده و به طور متقلبانه به تراکنش‌های خصوصی در انتظار دسترسی پیدا کرده‌اند.

وزارت دادگستری این دو برادر را به توطئه برای ارتکاب کلاهبرداری سیمی (wire fraud)، کلاهبرداری سیمی و توطئه برای ارتکاب پولشویی متهم کرد. اتهامات آن مربوط به روش‌های ادعایی مورد استفاده برای به دست آوردن اطلاعات معاملاتی و دستکاری فرآیند بود، نه اینکه هر استراتژی ترتیب تراکنش را به طور خودکار مجرمانه تلقی کند.

هیچ نهاد نظارتی یا مجری قانون ایالات متحده بر اساس اطلاعات ارائه شده، اقدامی را در رابطه با یوینک یا تلاش برای اکسپلویت rsETH اعلام نکرده است. شرکت‌های امنیتی بلاکچین ذکر شده، یافته‌های خود را به ترتیب تراکنش، بررسی‌های مجوزدهی اجراکننده مرتبط با Safe، و مسیر هوک یونی‌سواپ نسخه 4 (Uniswap v4) که برای باز کردن بسته‌بندی aEthrsETH استفاده شد، محدود کرده‌اند.