海带冻结阻止rsETH被盗，“Yoink”MEV机器人捕获770万美元

攻击者试图盗取价值约770万美元的rsETH，但被MEV机器人截胡

一名攻击者试图通过滥用与以太坊Safe钱包关联的自定义模块，从该钱包中盗取价值约770万美元的rsETH代币。然而，根据区块链安全公司Blockaid的报告，这次操作并未让攻击者成功携款潜逃，而是被一个MEV（最大可提取价值）机器人抢先捕获了代币。

Blockaid指出，该漏洞利用利用了公开的“keeper”多调用功能，将自定义Uniswap v4流动性模块路由至由攻击者控制的挂钩池中。在这种设置下，aEthrsETH被拆分为rsETH，从而使攻击者能够尝试接管提取出的代币。

关键要点

Blockaid将该事件追溯到连接至Safe钱包的自定义Uniswap v4流动性模块。据报道，攻击者目标锁定的rsETH持仓价值约为773万美元，但资金被一个MEV机器人拦截。链上活动显示，MEV机器人在原始攻击者采取行动之前就将rsETH转出。Kelp（rsETH协议方）出于预防目的，对接收地址实施了24小时的暂停措施，同时声明rsETH仍有全额支持。在调查期间，铸造、提款和集成服务均报告为正常运行。

从Safe模块到攻击者控制的流动性池

在其报告中，Blockaid描述了一种两阶段策略。首先，攻击者利用与Safe相关的“keeper多调用”作为公共执行路径。随后，通过该多调用，攻击者将自定义Uniswap v4流动性模块引导至由其创建的挂钩池中。

据Blockaid分析，核心机制在于在攻击者的池中将其转换为rsETH。这实际上为使用已内置于Safe的功能从受害者钱包中提取rsETH开辟了一条路线。

Blockaid确认受影响的钱包属于未识别的Safe用户，并估计在初步报告时约有773万美元的rsETH被盗。

MEV机器人“Yoink”抢跑攻击者

交易似乎并未让攻击者获得提取出的rsETH的控制权，而是被名为“Yoink”的MEV机器人进行了抢跑（Front-run）。MEV机器人监控内存池和交易模式，以捕捉可以重新排序交易以获取利润或优势的机会。

Blockaid表示，“Yoink”在原始攻击者 securing 资金之前就拿走了rsETH。Etherscan交易数据表明，“Yoink”在同一笔交易中向一个标记为“区块构建者”的地址转移了约18.93 ETH——当时价值约46,000美元。

虽然这本身并不能完全阐明机器人的完整盈利模式，但这种模式符合MEV式路由的特征：机器人在重新执行的顺序中捕获价值，并通过与构建者相关的基础设施结算或转发资金。

Kelp暂停接收地址；合约 reportedly 安全

在提取和拦截发生后，背后的rsETH协议Kelp采取措施降低进一步移动涉案目的地资金的风险。Kelp将对接收资金的地址置于24小时暂停状态，暂时阻止代币转移。

Kelp在X平台发布更新称，这一步骤仅为预防性的钱包级别措施，并补充说其自身合约是安全的，且rsETH仍有全额支持。Kelp还表示，在与其安全专家合作调查事件经过的同时，铸造、提款和集成服务均在正常运行。在其对可能攻击路径的解释中，Kelp指出连接到受害者Safe的自定义模块似乎是攻击向量，同时声明Kelp的核心合约层未受影响。

此事件对Safe及DeFi模块化意味着什么

此案强调了当“合法”的DeFi组件被接入钱包自动化或自定义模块时，如何变得具有高危险性。此次漏洞利用并非依赖于Kelp合约中声称的漏洞，而是利用了自定义Uniswap v4模块以及Safe通过公共多调用机制执行预配置调用的能力。

对于操作智能合约钱包的用户和团队来说，这一教训不仅仅关乎单个协议的实现，更关乎模块的设计、批准和监控方式。当Safe钱包被配置为通过复杂策略路由资产——尤其是涉及流动性挂钩和公共执行辅助工具的策略时——攻击者可能不需要破坏合约代码。他们可能只需要将现有路径引导至攻击者控制的对手逻辑中。

同时，MEV机器人拦截提取出的rsETH的事实也说明了另一个动态：即使漏洞利用成功将资金提取为可用形式，自动市场机制也可以重新排列结果，并减少攻击者完成结算的能力。

对于追踪恢复情况和下游影响的人来说，目前最重要的即时变量将是Kelp暂停措施的持续时间和范围，以及该协议能否确定剩余的资金移动权限或其他受影响的地址。除此之外，关注点可能会转向开发人员和审计人员建议在生产环境钱包设置中安全处理自定义模块、keeper多调用和Uniswap v4挂钩集成的方法。