Ошибка проверки прав раскрыла Ethereum-кошелёк Safe с примерно 2900 rsETH стоимостью $7,73 млн. MEV-бот Yoink опередил злоумышленника и вывел активы в том же блоке.

  • Атака использовала публичный вызов Multicall и кастомный LP-модуль Safe для Uniswap v4.
  • Вредоносный hook-пул развернул aEthrsETH обратно в rsETH, подготовив вывод.
  • Проблема была в подключённом Multicall, а не в ядре Safe; Kelp ограничил операции адреса на 24 часа.

Главный альфа-сигнал: у мультисигов опаснее всего не базовый кошелёк, а делегированные модули. Отзывайте лишние разрешения и ставьте мониторинг вызовов — MEV уже охотится за такими ошибками.