O bot de MEV Yoink antecipou uma tentativa de exploração envolvendo 2.900 rsETH na Ethereum, avaliados em cerca de US$ 7,8 milhões. A operação ocorreu no bloco 25980525 e anulou a transação do suposto invasor. Com isso, o bot capturou os recursos antes da conclusão do ataque. Para assegurar prioridade, o Yoink pagou quase 19 ETH ao construtor do bloco.

O bot de MEV Yoink antecipou uma exploração de cerca de US$ 7,81 milhões em rsETH na Ethereum.

PeckShieldAlert, no X.

Yoink capturou os recursos antes do invasor

Registros on-chain mostram que o Yoink recebeu os 2.900 rsETH no mesmo bloco da tentativa de ataque. Logo depois, o bot enviou 2.882,37 rsETH ao endereço 0xC70f00CD7E461686b04B0E912E309becA8b80ea0. Quando pesquisadores examinaram a carteira, ela mantinha 2.882,36740883 rsETH. Até aquele momento, os relatórios não registravam saídas nem identificavam o proprietário do endereço.

Dos recursos restantes, 17,63 rsETH seguiram para o Pool Manager do Uniswap v4. Na sequência, o contrato enviou 18,95 ETH ao Yoink. Então, o bot repassou 18,93 ETH ao construtor responsável pelo bloco. Consequentemente, essa etapa gerou pouco lucro direto em ETH, embora o resultado financeiro completo permaneça desconhecido.

A transação do Yoink ocupou a primeira posição no bloco 25980525. Já a rede processou posteriormente a operação original, mas ela sofreu reversão. Desse modo, os pesquisadores concluíram que o bot identificou a oportunidade e agiu antes do suposto atacante. Esse tipo de disputa envolve MEV, valor extraível pelo controle da inclusão e da ordem das transações.

Falha de autorização envolveu executor ligado ao Safe

A BlockSec atribuiu a vulnerabilidade a verificações defeituosas de autorização em um contrato executor conectado a um módulo Safe habilitado. De acordo com a análise, chamadas controladas pelo atacante poderiam atravessar um executor tratado como confiável pela carteira. Na prática, um agente externo conseguia acessar funções por uma rota autorizada. Embora grave, a falha não atingiu os contratos centrais do Safe nem o consenso da Ethereum.

O Safe funciona como uma carteira de contratos inteligentes e pode exigir a aprovação de vários signatários. Além disso, seus módulos permitem ações específicas conforme regras predefinidas. Por isso, cada módulo habilitado integra a fronteira de segurança da carteira. Contudo, o executor afetado não verificava corretamente a autoridade por trás das chamadas.

A Blockaid detalhou outra etapa da tentativa de exploração. Primeiro, o atacante teria acessado um multicall público de keeper. Depois, ele direcionou um módulo personalizado do Uniswap v4 para um pool com hook sob seu controle. Nesse processo, o pool malicioso teria convertido aEthrsETH em rsETH.

Caso ocorre após perdas bilionárias no DeFi

Conforme a Blockaid, a função pública de keeper e a rota confiável permitiram alcançar a estrutura personalizada de liquidez. Mesmo assim, o Yoink identificou a oportunidade e capturou o mesmo resultado antes da conclusão da operação. Os relatórios não revelaram a identidade do atacante, do operador do bot ou do construtor do bloco. Até a publicação, também não havia informação sobre recuperação, recompensa ou processo judicial.

Paralelamente, a tentativa ocorreu em um ano marcado por perdas elevadas no DeFi. Estimativas da CertiK e da Forbes apontaram prejuízos de pelo menos US$ 1,3 bilhão nos primeiros oito meses de 2026. Nesse período, credenciais comprometidas e acessos privilegiados superaram falhas tradicionais de contratos inteligentes como principal causa das perdas em valor. Em contraste, o caso do Yoink decorreu da lógica de autorização em um executor ligado a um módulo Safe.

Em abril, outro incidente envolveu rsETH após um invasor criar 116.500 unidades sem lastro. Após isso, ele usou os recursos como garantia na Aave para tomar outros valores emprestados. Contudo, pesquisadores não relacionaram esse episódio à transação do bloco 25980525. Enquanto o caso anterior envolveu infraestrutura associada a um verificador da LayerZero, a ocorrência atual afetou 2.900 rsETH existentes.

Autoridades dos EUA já trataram esquemas de MEV como fraude

Nos Estados Unidos, o termo front-running não determina sozinho o enquadramento jurídico de uma negociação on-chain. Assim, autoridades federais investigam operações de MEV quando identificam indícios de fraude, engano ou manipulação de sistemas. Em maio de 2024, o Departamento de Justiça acusou os irmãos Anton e James Peraire-Bueno por um suposto esquema na Ethereum. Conforme a acusação, a dupla obteve cerca de US$ 25 milhões em aproximadamente 12 segundos.

Os promotores apresentaram acusações de fraude eletrônica, conspiração para fraude eletrônica e conspiração para lavagem de dinheiro. Segundo eles, a dupla acessou transações privadas pendentes e manipulou a ordenação para obter os recursos. Até agora, nenhuma autoridade norte-americana anunciou medidas contra o Yoink ou contra a tentativa de exploração de rsETH. Portanto, as conclusões disponíveis se limitam à ordem das transações, à autorização do executor e à rota pelo hook do Uniswap v4.