Um ladrão na Base chain realizou um golpe de phishing limpo de US$ 500.000 em 6 de agosto — e então viu a maior parte desaparecer em segundos. Este caso de dinâmica de ataque MEV de roubo de cripto mostra como até hackers bem-sucedidos podem se tornar vítimas quando ignoram proteções básicas de negociação ao tentar sacar.
Summary
Principais pontos
- Um invasor aplicou phishing e roubou cerca de US$ 501.650 em USDC da carteira de uma vítima na Base, a rede de segunda camada (Layer-2) da Ethereum da Coinbase, por volta de 02:29 UTC de 6 de agosto.
- O invasor tentou trocar o USDC roubado por wrapped ETH na Uniswap V4 sem definir proteção de slippage.
- Um bot de MEV fez um sanduíche em cima dessa troca e embolsou cerca de US$ 370.000 em lucro, pagando aproximadamente 3,5 ETH em gás para executar a operação.
- O invasor saiu com apenas cerca de US$ 129.000 em ETH — uma perda acentuada em relação ao montante original.
- A vítima ofereceu uma recompensa de 10% e enviou mensagens on-chain tanto para o invasor quanto para o operador do bot, mas até 7 de agosto nenhum fundo havia sido devolvido e nenhuma prisão havia sido efetuada.
Ataque de phishing na Base Chain drena mais de US$ 500.000
O roubo começou com um esquema de phishing direto que esvaziou a carteira de uma vítima em US$ 501.650 em USDC na Base, a rede de segunda camada da Ethereum operada pela Coinbase. Os fundos foram movidos para um endereço controlado pelo invasor em questão de instantes após o comprometimento, por volta de 02:29 UTC de 6 de agosto.
Detalhes do evento de roubo
A Base vem registrando rapidamente um aumento no volume de negociação, o que a torna um terreno de caça atraente para operadores de phishing em busca de carteiras com stablecoins e outros ativos líquidos. O vetor exato de phishing usado contra essa vítima em particular — seja um site falso, uma interface de dApp comprometida ou uma abordagem de engenharia social — não foi divulgado publicamente.
Movimentação imediata dos fundos após o roubo
Assim que o USDC chegou à carteira do invasor, o passo seguinte seguiu um roteiro familiar entre ladrões de cripto: converter stablecoins roubadas em um ativo mais difícil de ser congelado antes que alguém possa agir. Essa urgência foi exatamente o que preparou a queda do invasor.
Ataque sanduíche de bot MEV mina os ganhos do invasor
A tentativa do invasor de lavar os fundos por meio de uma troca apressada acabou custando a ele quase três quartos do dinheiro roubado. O que deveria ter sido uma conversão discreta em ETH acabou se tornando uma lição clássica de exploração de maximal extractable value.
Troca do invasor na Uniswap V4 sem proteção de slippage
Para mover as stablecoins para wrapped ETH, o invasor executou uma troca na Uniswap V4. A proteção de slippage normalmente limita o quanto o preço de execução pode se desviar do que o trader espera, bloqueando a transação se o mercado se mover demais durante o processamento. O invasor ignorou completamente essa salvaguarda, deixando a transação exposta no mempool.
Execução e lucro do ataque sanduíche do bot MEV
Um bot de MEV identificou a ordem desprotegida e atacou com um clássico ataque sanduíche: uma transação colocada imediatamente antes da troca empurrou o preço para cima, e uma segunda transação colocada logo depois capturou o spread inflado. O bot gastou cerca de 3,5 ETH em gás para executar a manobra e saiu com aproximadamente US$ 370.000 em lucro — mais do que o próprio invasor acabou mantendo.
Resultado final para os fundos do invasor
Após o sanduíche, o invasor recebeu apenas cerca de 67,9 ETH da troca, no valor aproximado de US$ 129.000. Isso equivale a um corte de 74% em relação ao roubo original de US$ 501.650, transformando um crime de seis dígitos em um pagamento muito menor quase da noite para o dia.
Resposta on-chain da vítima e situação atual
Em vez de permanecer em silêncio, a vítima tomou um caminho público incomum: enviar mensagens diretamente na blockchain para ambas as partes responsáveis pela perda. É um lembrete de que a transparência on-chain funciona nos dois sentidos — invasores e bots de MEV operam igualmente à vista de todos.
Mensagens públicas on-chain para o invasor e o bot de MEV
Usando mensagens on-chain, que são visíveis para qualquer pessoa que monitore os endereços relevantes, a vítima contatou tanto o invasor de phishing quanto o operador por trás do bot de MEV. As mensagens afirmavam que a vítima havia identificado a pessoa por trás do roubo.
Oferta de recompensa e status da investigação
A vítima também ofereceu uma recompensa de 10% pela devolução dos fundos roubados — um incentivo voltado a que o invasor ou o operador do bot devolvessem parte do dinheiro voluntariamente. A empresa de segurança PeckShield sinalizou publicamente tanto o ataque de phishing quanto a extração de MEV subsequente em poucas horas, atraindo maior atenção para o caso. Até 7 de agosto, nem os fundos haviam sido restaurados nem qualquer indivíduo havia sido detido.
Incertezas e implicações de segurança para a rede Base da Coinbase
Este episódio destaca uma lacuna que existe independentemente de quem esteja de cada lado da transação: a exposição a MEV não faz distinção entre traders legítimos e ladrões. Qualquer pessoa que ignore a proteção de slippage em uma troca de grande porte é um alvo fácil para um bot que monitora o mempool.
Vetor de phishing e operador do bot MEV não revelados
Detalhes-chave permanecem sem solução. A identidade do operador do bot de MEV não foi divulgada, e o método específico de phishing usado contra a vítima ainda é desconhecido. Ambas as lacunas deixam em aberto questões sobre o quão repetível esse padrão pode ser para outros usuários da Base.
Crescimento e vulnerabilidades da rede Base
O aumento da atividade de negociação na Base a tornou um alvo maior, e este incidente é um estudo de caso de como invasores podem ser desfeitos pelas mesmas mecânicas de mercado que tentam explorar. Ironicamente, um operador sofisticado o suficiente para conduzir uma campanha de phishing bem-sucedida aparentemente não usou serviços de envio privado de transações ou agregadores de DEX com proteção de MEV — ferramentas que poderiam ter protegido a troca exatamente desse tipo de ataque sanduíche.
Por enquanto, o registro contábil soa estranho: o invasor mantém cerca de US$ 129.000 em ETH, o operador do bot de MEV está sentado em aproximadamente US$ 370.000 em lucro, e a vítima original perdeu meio milhão de dólares, ainda aguardando uma oferta de recompensa que ninguém reivindicou.
Perguntas frequentes
Como o invasor perdeu grande parte dos fundos roubados?
O invasor trocou o USDC roubado sem proteção de slippage, permitindo que um bot de MEV realizasse um ataque sanduíche na troca e capturasse cerca de US$ 370.000 em lucro.
O que é um ataque sanduíche no contexto de bots de MEV?
Um ataque sanduíche envolve colocar uma transação antes e outra depois de uma transação-alvo para manipular o preço, extraindo lucro da variação de preço.
A vítima recuperou algum fundo ou houve prisões?
Até 7 de agosto, nenhum fundo havia sido devolvido à vítima e nenhuma prisão havia sido efetuada.
A identidade do invasor de phishing ou do operador do bot de MEV é conhecida?
Não, o vetor de phishing e a identidade do operador do bot de MEV permanecem não revelados.
{“@context”:”https://schema.org”,”@type”:”FAQPage”,”mainEntity”:[{“@type”:”Question”,”name”:”Como o invasor perdeu grande parte dos fundos roubados?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”O invasor trocou o USDC roubado sem proteção de slippage, permitindo que um bot de MEV realizasse um ataque sanduíche na troca e capturasse cerca de US$ 370.000 em lucro.”}},{“@type”:”Question”,”name”:”O que é um ataque sanduíche no contexto de bots de MEV?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”Um ataque sanduíche envolve colocar uma transação antes e outra depois de uma transação-alvo para manipular o preço, extraindo lucro da variação de preço.”}},{“@type”:”Question”,”name”:”A vítima recuperou algum fundo ou houve prisões?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”Até 7 de agosto, nenhum fundo havia sido devolvido à vítima e nenhuma prisão havia sido efetuada.”}},{“@type”:”Question”,”name”:”A identidade do invasor de phishing ou do operador do bot de MEV é conhecida?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”Não, o vetor de phishing e a identidade do operador do bot de MEV permanecem não revelados.”}}]}
Artigo produzido com a assistência de inteligência artificial e revisado pela equipe editorial.
