Criptovalute: Ruba 500.000 dollari in USDC e viene derubato da un bot MEV su Base

Chi credeva di prendere, è preso , scriveva già La Fontaine in Il Rat e l'Ostrica. Un hacker anonimo ha appena fatto questa amara esperienza su Base, la rete di secondo livello (layer 2) di Ethereum gestita da Coinbase. Il 6 agosto 2026, ha svuotato il portafoglio (wallet) di una vittima tramite phishing, una tecnica di inganno che consiste nell'usurpare un sito di fiducia per rubare le credenziali. Bottino annunciato, 501.650 dollari in USDC volatilizzati in pochi secondi. Un bel colpo. A meno che, nel tentativo di convertire questo tesoro in ETH su Uniswap, non abbia trascurato una regola fondamentale del trading on-chain. Risultato, ha perso tre quarti della somma. I punti chiave di questo articolo: * Un pirata ha rubato 501.650 dollari in USDC su Base, ma il suo atto si è trasformato in un fiasco quando ha perso tre quarti della somma cercando di convertire i fondi rubati. * Un bot MEV ha sfruttato una transazione mal protetta su Uniswap V4, incassando 370.000 dollari grazie a un attacco a sandwich, mentre la vittima non ha recuperato i suoi fondi. La storia inizia come decine di altre. Secondo Peckshield, il pirata ha siphonato circa 501.650 dollari in USDC dall'indirizzo di una vittima su Base, alle 2:29 UTC del 6 agosto 2026. I fondi sono atterrati su un indirizzo controllato dall'attaccante in pochi istanti. Fino a quel momento, nulla di insolito. La conversione rapida di uno stablecoin rubato in un attivo più difficile da congelare è un classico del genere. Gli USDC, emessi da Circle, possono essere bloccati su semplice richiesta giudiziaria, a differenza dell'ETH nativo. Il ladro lo sapeva. Ignorava invece cosa lo aspettava su Uniswap. MEV: quando il cacciatore diventa la preda su Uniswap V4 Ecco il nodo del problema. Per trasformare i suoi USDC in wETH (la versione "wrappata" dell'ether, compatibile con gli standard dei token ERC-20), l'attaccante ha effettuato uno swap su Uniswap V4 senza attivare alcuna protezione contro lo slippage, quel meccanismo che limita la differenza tollerata tra il prezzo mostrato e il prezzo effettivamente eseguito di una transazione. Senza questa protezione, l'ordine è rimasto esposto in chiaro nel mempool, la sala d'attesa pubblica dove attendono le transazioni prima della loro registrazione in un blocco. Un bot MEV, uno di quei robot che tracciano il valore estraibile massimo (Maximal Extractable Value, l'insieme dei profitti che un terzo può ottenere riordinando le transazioni in attesa), ha individuato la preda. Secondo Value The Markets, il 7 agosto 2026, il bot ha piazzato una transazione proprio prima di quella del ladro per far salire il prezzo, ha lasciato eseguire lo swap a un tasso degradato e poi ha rivenduto subito dopo. La classica tecnica del sandwich, l'attacco che prende una transazione in una morsa. Per circa 3,5 ETH di spese di gas sostenute, il bot ha incassato quasi 370.000 dollari. Su Base, anche i ladri pagano il conto dello slippage Piuttosto che rimanere in silenzio, la vittima ha scelto il confronto diretto. Attraverso messaggi on-chain, visibili da chiunque monitori gli indirizzi interessati, ha pubblicamente interpellato il pirata e l'operatore del bot MEV, affermando di aver identificato l'autore del furto. Ha persino offerto una ricompensa del 10% dell'importo in cambio di una restituzione. Alla data del 7 agosto 2026, nessun fondo era tornato e nessun arresto era stato annunciato. Il ladro conserva quindi circa 129.000 dollari, il bot MEV ha incassato 370.000, e la vittima ha perso l'intero importo iniziale. PeckShield, che ha segnalato l'attacco poche ore dopo i fatti, precisa che né l'identità dell'operatore del bot né il vettore di phishing utilizzato contro la vittima sono stati resi pubblici. L'aneddoto ha di che far sorridere. Base, i cui volumi di trasferimento di stablecoin sono tra i più elevati di tutte le reti Ethereum, attira logicamente sempre più bot MEV in cerca di swap mal protetti, che appartengano a un trader distratto o a un rapinatore frettoloso. La catena esegue ciò che è scritto nel mempool, senza distinzione tra una vittima e il suo carnefice. Attivare una protezione contro lo slippage o passare attraverso un aggregatore DEX in grado di instradare gli ordini al di fuori della portata dei bot costa qualche secondo a qualsiasi utente di Base. Una precauzione semplice. Questo pirata, invece, ha pagato questa negligenza 370.000 dollari.

Questo contenuto è fornito a solo scopo informativo generale e non costituisce consulenza finanziaria, di investimento, legale o fiscale. Qualsiasi evento, ricompensa, promozione online o informazione correlata menzionata nel presente documento non deve essere considerata una raccomandazione, una sollecitazione o un invito ad acquistare, vendere, fare trading o altrimenti negoziare criptovalute. Le criptovalute sono altamente volatili e possono comportare perdite. La disponibilità dei servizi, dei prodotti e degli eventi correlati di WEEX può variare a seconda della regione. È tua responsabilità assicurarti che la tua partecipazione sia conforme alle leggi e ai regolamenti locali applicabili.