以太坊MEV机器人抢跑780万美元rsETH漏洞利用
近日，一个名为Yoink的以太坊最大可提取价值（MEV）机器人抢先执行了一笔涉及2900枚rsETH（约780万美元）的疑似Safe钱包漏洞利用交易，并支付了近19 ETH以确保其在区块中的第一位置。
据安全公司PeckShield和BlockSec披露，在以太坊区块25980525中，Yoink机器人先于原始攻击交易被打包，并接收到2900枚rsETH。随后，该机器人将2882.37枚rsETH转移至地址0xC70f00CD7E461686b04B0E912E309becA8b80ea0，其余17.63枚rsETH通过Uniswap v4池管理器兑换为约18.95 ETH，其中大部分作为出块者费用支付。分析认为，巨额支付实为机器人竞标优先打包权的出价。
BlockSec指出，漏洞根源在于与Safe模块关联的执行器合约存在薄弱的授权校验，使攻击者可控调用能经由钱包信任路径执行。Blockaid进一步说明，攻击者利用公共keeper多调用功能，将自定义Uniswap v4流动性模块导向其控制的恶意钩子池，从而将aEthrsETH拆解为rsETH。Yoink机器人检测到该攻击意图后抢先提交竞争交易，截获了相同输出。
此次事件发生在2026年DeFi损失严重的背景下。据CertiK等估计，前八个月协议因漏洞损失至少13亿美元。此外，美国当局曾将某些MEV方案视为欺诈，但截至目前，未对Yoink或本次尝试发出法律行动。
rsETH此前还在4月因LayerZero验证器基础设施被攻破而出现伪造代币事件，但安全研究者未将两事关联。本次事件凸显了智能合约钱包模块权限校验的重要性及MEV生态的博弈。