Table of Contents
失誤開端：Swapper 合約授權風波
事情源於 Coinbase 與去中心化交易協議 0x Project 的互動，該協議提供一個名為 「swapper」 的智能合約，屬於無需特定權限 (permissionless) 類型，任何人都能呼叫。
簡單來說，這個 permissionless 合約原本設計只是用來執行代幣交換，並不應該接收長期的代幣授權 (token approvals)，因為這會賦予合約持有與轉移資金的能力，帶來安全風險。
根據 Venn Network 安全研究員 deeberiroz 披露，Coinbase 在近期某次操作中，錯誤地向該合約授權了多種代幣，包括 Amp、MyOneProtocol、DEXTools 與 Swell Network。由於該合約任何人都能呼叫操作，該授權相當於公開丟出一串寶庫鑰匙。
Coinbase 一時疏忽，MEV 機器人捕獵成功
此時，MEV 機器人早已潛伏多時，等待高價值錢包出現錯誤授權的機會。當 Coinbase 的授權交易被打包上鏈，機器人便立即呼叫 swapper 合約，將授權的代幣直接轉入自身地址。
由於這一切是自動化執行，整個過程幾乎在瞬間完成，Coinbase 根本沒有時間撤銷授權或阻止轉移。
正如 deeberiroz 形容：「他們一直在等有人犯錯，一旦發生就會立刻把錢搬走。Coinbase 的這次失誤，讓他們賺得盆滿缽滿。」
作為區塊鏈世界最惡名昭彰的存在，MEV 機器人能監控交易池 (mempool) 中的所有交易，並透過搶跑交易 (front-running) 或重排 (reordering) 的方式，最大化自身利益。
(交易員一天遭受六次 MEV「三明治攻擊」，損失 71 萬美元遭質疑洗錢)
Coinbase 緊急止血：用戶資金無虞
Coinbase 資安長 Philip Martin 隨後在 X 平台回應，表示這是他們在變更某企業錢包時的單一事件，該錢包僅用於累積手續費收入，並沒有任何客戶資金受到影響。
目前，公司已經立刻採取補救措施，包括撤銷 (revoke) 所有錯誤授權，並將資金轉移至新的企業錢包，以避免同樣情況再次發生。
雖然對 Coinbase 來說，30 萬美元可以說是微不足道，但這起事件仍是一次代價不小的警示，凸顯規模再大的交易所，仍需要進行幾堂資安講習。
警訊：定期取消不必要授權
這起事件反映了加密資產安全的一個關鍵脆弱點：「代幣授權管理」。在鏈上世界，任何一次錯誤的授權，都可能讓對方在合約允許的範圍內，完全掌控用戶資產。更因為鏈上行為是公開透明且不可逆的，資金幾乎不可能追回。
此事也為個人用戶帶來警訊：「定期檢查並撤銷不再需要的授權，是鏈上資安防護的基本動作。」實用工具如授權撤銷網站 Revoke 等，都能幫助用戶及時清理潛在風險。
風險提示
加密貨幣投資具有高度風險，其價格可能波動劇烈，您可能損失全部本金。請謹慎評估風險。
