La plataforma estadounidense de criptomonedas Coinbase ha perdido aproximadamente 300.000 dólares después de conceder por error permisos de tokens a un smart contract del proyecto 0x. Este fallo permitió que un bot de Maximal Extractable Value (MEV) retirara los fondos de inmediato.
Investigador de seguridad descubre la vulnerabilidad
El incidente fue revelado por el investigador de seguridad DeBeez, de Venn Network, en una publicación en X. Según explicó, una billetera corporativa de Coinbase interactuó con el contrato “Swapper” de 0x —una herramienta diseñada para ejecutar intercambios sin necesidad de aprobación explícita, pero que no debería requerir permisos de tokens—.
Dado que cualquiera puede invocar el contrato para ejecutar acciones arbitrarias, conceder permisos puede derivar en un robo inmediato de criptomonedas. DeBeez recordó incidentes previos en los que el mismo swapper fue explotado —como en reclamaciones de Zora— sin que existiera una vulnerabilidad de código.
El bot MEV actuó de forma inmediata
Capturas de pantalla compartidas muestran que Coinbase otorgó permisos para AMP, MyoneProtocol, Dextools y Swell Network, entre otros. Poco después, un bot MEV activó el contrato swapper para transferir los tokens autorizados desde la cuenta de comisiones de Coinbase a sus propias direcciones.
Según DeBeez, “el bot estaba al acecho en la oscuridad” esperando que los usuarios aprobaran el contrato de forma incorrecta. “Su sueño se hizo realidad gracias a Coinbase”, ironizó el investigador.
Coinbase asegura que no se vieron afectados fondos de clientes
Philip Martin, director de seguridad de Coinbase, confirmó el incidente y lo calificó de “problema aislado” provocado por un cambio de configuración en una de las carteras DEX corporativas de la empresa.
“No se han visto afectados los fondos de los clientes”, subrayó Martin. Añadió que los permisos de tokens ya han sido revocados y que los fondos corporativos restantes fueron transferidos a una nueva billetera de la compañía.
Ataques MEV anteriores en el sector cripto
Este episodio se suma a una serie de recientes ataques que involucran bots MEV. En abril, un bot MEV perdió 180.000 dólares en Ethereum tras el abuso de un sistema débil de control de acceso. En 2023, un validador malicioso llegó a robar 25 millones de dólares en activos digitales mediante transacciones tipo sandwich.
