C’è una beffa quasi cinematografica dietro l’ultimo furto crypto con attacco MEV avvenuto sulla rete Base di Coinbase: un ladro che ha sottratto oltre mezzo milione di dollari a una vittima si è ritrovato, poche ore dopo, con appena un quarto di quella somma in tasca. Il colpevole di questo ribaltamento non è stato un investigatore o una piattaforma di sicurezza, ma un bot automatizzato programmato per intercettare transazioni vulnerabili sulla blockchain.
Summary
Punti chiave
- Un attacco phishing ha sottratto circa 501.650 dollari in USDC da un wallet su Base, la rete Layer-2 di Coinbase.
- Il ladro ha convertito i fondi in wrapped ETH su Uniswap V4 senza protezione dallo slippage.
- Un bot MEV ha eseguito un attacco sandwich sulla transazione, incassando circa 370.000 dollari.
- All’attaccante sono rimasti solo circa 129.000 dollari in ETH.
- Al 7 agosto nessun fondo era stato restituito e nessun arresto era stato effettuato.
Un attacco phishing su Base sottrae oltre 500.000 dollari
Il furto è avvenuto attorno alle 02:29 UTC del 6 agosto: l’attaccante ha drenato circa 501.650 dollari in USDC dal wallet di una vittima sulla Base chain, la rete Layer-2 di Ethereum sviluppata da Coinbase che negli ultimi mesi ha visto una crescita rapida dell’attività di trading. I fondi sono finiti quasi istantaneamente su un indirizzo controllato dal ladro, secondo lo schema tipico degli attacchi di phishing mirati ai wallet crypto.
Da lì in avanti, però, la vicenda ha preso una piega inaspettata. Come spesso accade in questi casi, l’obiettivo immediato dell’attaccante era convertire il malloppo in stablecoin verso un asset più liquido e più difficile da bloccare. Una mossa standard per chi ruba crypto: minimizzare i tempi di esposizione prima che gli exchange o le autorità possano intervenire.
Il bot MEV trasforma il furto in un boomerang
Il punto debole dell’operazione è stato uno swap eseguito senza le dovute cautele. L’attaccante ha tentato di convertire gli USDC rubati in wrapped ETH tramite Uniswap V4, ma lo ha fatto senza impostare una protezione dallo slippage, cioè senza fissare un limite di prezzo che impedisca l’esecuzione della transazione se lo scostamento diventa troppo ampio.
È stato l’errore fatale. Un bot MEV (maximal extractable value) ha individuato la transazione non protetta mentre era ancora nella mempool e ha lanciato un classico attacco sandwich: una transazione piazzata immediatamente prima dello swap del ladro, che ne ha spinto in alto il prezzo, e una seconda subito dopo, per incassare la differenza gonfiata.
Il risultato è stato impietoso. Il bot MEV ha pagato circa 3,5 ETH in gas per eseguire l’operazione, ma ha portato a casa un profitto stimato in 370.000 dollari. All’attaccante sono rimasti soltanto 67,9 ETH, pari a circa 129.000 dollari: una decurtazione del 74% su un furto che inizialmente valeva mezzo milione.
Qui si misura il vero significato dell’episodio: dimostra che nemmeno chi orchestra un phishing sofisticato è al sicuro dalle dinamiche predatorie che regolano la liquidità on-chain. La vulnerabilità swap Uniswap senza protezioni adeguate colpisce chiunque, criminali compresi, e questo racconta molto sulla natura spietata e neutrale dell’infrastruttura DeFi.
La vittima risponde on-chain e offre una taglia
La reazione della vittima è stata insolita quanto l’attacco stesso. Attraverso messaggi on-chain, visibili pubblicamente a chiunque monitori quegli indirizzi, la vittima si è rivolta sia all’attaccante originale sia all’operatore del bot MEV, sostenendo di aver identificato il responsabile del furto.
Alla comunicazione ha aggiunto un incentivo concreto: una taglia del 10% sui fondi rubati per chi li avesse restituiti. La società di sicurezza on-chain PeckShield ha segnalato pubblicamente l’attacco e la successiva estrazione MEV nel giro di poche ore, portando l’episodio all’attenzione della comunità crypto più ampia.
Nonostante la visibilità raggiunta dal caso, al 7 agosto la situazione restava invariata: nessun fondo era stato restituito e nessun arresto era stato effettuato. La risposta on-chain della vittima resta quindi, per ora, un gesto simbolico più che una strategia con esiti concreti.
Le domande ancora aperte sulla sicurezza di Base
Diversi elementi dell’episodio restano privi di risposta. L’identità dell’operatore del bot MEV attacco sandwich non è stata rivelata, e nemmeno il vettore preciso usato per il phishing iniziale: non è chiaro se sia stato un sito falso, un’interfaccia dApp compromessa o una tecnica di ingegneria sociale più elaborata.
Resta un paradosso di fondo: un attaccante presumibilmente capace di orchestrare un’operazione di phishing non ha utilizzato nessuno degli strumenti disponibili per mitigare l’esposizione al MEV, come i servizi di invio privato delle transazioni o gli aggregatori DEX con protezione integrata contro questo tipo di estrazione.
Per gli utenti della rete Base, l’episodio è un monito su quanto la crescita rapida del Layer-2 di Coinbase porti con sé anche un’espansione della superficie di rischio, sia per le vittime di phishing che, paradossalmente, per gli stessi criminali che operano senza le dovute precauzioni tecniche.
FAQ
Come ha perso l’attaccante gran parte dei fondi rubati?
L’attaccante ha scambiato gli USDC rubati senza protezione dallo slippage, permettendo a un bot MEV di eseguire un attacco sandwich sullo swap e incassare circa 370.000 dollari di profitto.
Cos’è un attacco sandwich nel contesto dei bot MEV?
Un attacco sandwich consiste nel piazzare una transazione prima e una dopo quella dell’obiettivo, in modo da manipolare il prezzo ed estrarre un profitto dalla variazione così generata.
La vittima ha recuperato i fondi o ci sono stati arresti?
Al 7 agosto nessun fondo era stato restituito alla vittima e nessun arresto era stato effettuato.
Si conosce l’identità dell’attaccante o dell’operatore del bot MEV?
No, sia il vettore utilizzato per il phishing sia l’identità dell’operatore del bot MEV restano non divulgati.
Contenuto realizzato con l’assistenza dell’intelligenza artificiale e con revisione editoriale umana.
