2882 rsETH, 공격자보다 MEV 봇이 먼저 가로챘다

약 780만달러(약 106억원) 상당의 rsETH 약 2900개를 빼내려던 공격 거래를 MEV 봇 Yoink가 앞질러 2882개를 가로챘다. 공격자는 Safe 다중서명 지갑이 승인한 Multicall 계약의 권한 검증 결함을 이용한 것으로 전해졌다.

코인데스크는 공격 거래가 공개 거래 풀에 노출되자 Yoink가 약 4만7000달러(약 6400만원)의 수수료를 지불하고 먼저 거래를 처리해 2882 rsETH를 다른 주소로 옮겼다고 보도했다. BlockSec·Blockaid·SlowMist·AstraSec은 결함이 Safe 핵심 계약이 아니라 지갑 사용자가 승인한 헬퍼 및 Multicall 구성요소에 있다고 밝혔다.

rsETH 발행사 Kelp DAO는 해당 수령 주소를 24시간 중단했다.