海带冻结阻止了 rsETH 盗窃，“Yoink”MEV 机器人捕获了 770 万美元

攻击者试图通过滥用与钱包绑定的自定义模块，从以太坊安全钱包中盗取价值约 770 万美元的 rsETH。据区块链安全公司 Blockaid 称，当 MEV 机器人首先捕获代币时，操作并没有成功带着资金退出，而是中断了。

Blockaid 表示，该漏洞利用公共“keeper”多重调用将自定义 Uniswap v4 流动性模块路由到攻击者控制的挂钩池中。在该设置中，aEthrsETH 被解包到 rsETH 中，从而允许攻击者尝试保管提取的代币。

Blockaid 将该事件追溯到连接到安全钱包的自定义 Uniswap v4 流动性模块。

据报道，攻击者的目标是持有价值约 773 万美元的 rsETH，但 MEV 机器人截获了这些资金。

链上活动表明 MEV 机器人在原始攻击者采取行动之前将 rsETH 转移出去。

作为预防措施，rsETH 协议 Kelp 对接收地址设置了 24 小时暂停，同时表示 rsETH 仍得到充分支持。

据报道，在调查期间，铸币、提现和整合仍在正常进行。

从安全模块到攻击者控制的流动性池

Blockaid 在其报告中描述了一个两阶段战略。首先，攻击者利用与 Safe 相关的“keeper multicall”作为公共执行路径。然后，通过多次调用，攻击者将自定义 Uniswap v4 流动性模块引导到攻击者创建的挂钩池中。

根据 Blockaid 的说法，关键机制集中在攻击者池内将 aEthrsETH 转换为 rsETH。这有效地创建了一条利用已连接到保险箱的功能从受害者钱包中提取 rsETH 的路线。

Blockaid 确定受影响的钱包属于一名身份不明的 Safe 用户，并估计在最初报告时大约有 773 万美元的 rsETH 被盗。

MEV 机器人“Yoink”抢先利用者

该交易似乎是由名为“Yoink”的 MEV 机器人抢先运行的，而不是让攻击者获得提取的 rsETH 的控制权。 MEV 机器人监控内存池和交易模式，以捕捉可以重新排序交易以获取利润或优势的机会。

Blockaid 表示，Yoink 在原始攻击者获得资金之前拿走了 rsETH。 Blockaid 更新中链接的 Etherscan 交易数据表明，Yoink 在同一笔交易中将约 18.93 ETH（当时价值约 46,000 美元）转移到一个标记为“区块构建者”的地址。

虽然这本身并不能阐明机器人的完整盈利模式，但该模式与 MEV 风格的路由一致：机器人在重新排序的执行中捕获价值，并通过与构建器相关的基础设施结算或转发资金。

Kelp 暂停接收地址；据报道合同是安全的

在提取和拦截之后，Kelp 背后的 rsETH 协议采取了行动，以降低代币从相关目的地进一步移动的风险。

Kelp 将接收资金的地址置于 24 小时暂停状态，暂时阻止代币转移。在 X 上发布的更新中，Kelp 将这一步骤描述为一种预防性的、钱包级别的措施，并补充说其自己的合约是安全的，并且 rsETH 仍得到充分支持。

Kelp 还表示，在与安全专家合作调查发生的情况的同时，铸币、提现和集成仍在正常进行。在解释可能的攻击路径时，Kelp 指出附加到受害者保险箱的自定义模块是明显的向量，同时指出 Kelp 的核心合约层不受影响。

这一事件对 Safe 和 DeFi 模块化意味着什么

此案例强调，“合法”的 DeFi 组件在连接到钱包自动化或自定义模块时可能会变得高风险。该漏洞并不依赖于 Kelp 合约中声称的漏洞；相反，它利用了自定义 Uniswap v4 模块和 Safe 通过公共多重调用机制执行预配置调用的能力。

对于操作智能合约钱包的用户和团队来说，课程不是关于任何单一协议的实现，而是更多关于如何设计、批准和监控模块。当安全钱包配置为通过复杂的策略（尤其是涉及流动性挂钩和公共执行助手的策略）路由资产时，攻击者可能不需要破坏合约代码。他们可能只需要引导现有路径进入攻击者控制的交易对手逻辑。

与此同时，MEV 机器人拦截提取的 rsETH 的事实说明了另一种动态：即使利用成功将资金拉动为可用形式，自动化市场机制也可以重新排序结果并降低攻击者完成结算的能力。

对于跟踪恢复和下游影响的读者来说，最重要的直接变量将是 Kelp 暂停的持续时间和范围，以及协议是否可以识别剩余的移动权或任何其他受影响的地址。除此之外，注意力可能会转向开发人员和审计人员建议的安全处理自定义模块、keeper 多重调用以及生产钱包设置中的 Uniswap v4 挂钩集成。