全球最大加密货币交易所之一 Coinbase，近期因企业钱包的设置疏失，意外将代币授权给去中心化交易协议 0x Project 的「swapper」合约，结果被潜伏已久的 MEV 机器人立刻锁定并执行转移，导致约 30 万美元代币的资金损失。
失误开端：Swapper 合约授权风波
事情源于 Coinbase 与去中心化交易协议 0x Project 的互动，该协议提供一个名为「swapper」的智能合约，属于无需特定权限 (permissionless) 类型，任何人都能呼叫。
简单来说，这个 permissionless 合约原本设计只是用来执行代币交换，并不应该接收长期的代币授权 (token approvals)，因为这会赋予合约持有与转移资金的能力，带来安全风险。
广告 – 内文未完请往下滚动
Looks like @coinbase was recently drained of ~$300,000 after using @0xProject swapper incorrectly.
They approved all the tokens accrued as fees to their router, getting drained immediately by MEV bots pic.twitter.com/yWNHl8nupg
— deebeez (@deeberiroz) August 13, 2025
根据 Venn Network 安全研究员 deeberiroz 披露，Coinbase 在近期某次操作中，错误地向该合约授权了多种代币，包括 Amp、MyOneProtocol、DEXTools 与 Swell Network。由于该合约任何人都能呼叫操作，该授权相当于公开丢出一串宝库钥匙。
Coinbase 一时疏忽，MEV 机器人捕猎成功
此时，MEV 机器人早已潜伏多时，等待高价值钱包出现错误授权的机会。当 Coinbase 的授权交易被打包上链，机器人便立即呼叫 swapper 合约，将授权的代币直接转入自身地址。
由于这一切是自动化执行，整个过程几乎在瞬间完成，Coinbase 根本没有时间撤销授权或阻止转移。
正如 deeberiroz 形容：“他们一直在等有人犯错，一旦发生就会立刻把钱搬走。Coinbase 的这次失误，让他们赚得盆满钵满。”
作为区块链世界最恶名昭彰的存在，MEV 机器人能监控交易池 (mempool) 中的所有交易，并通过抢跑交易 (front-running) 或重排 (reordering) 的方式，最大化自身利益。
(交易员一天遭受六次 MEV「三明治攻击」，损失 71 万美元遭质疑洗钱)
Coinbase 紧急止血：用户资金无虞
Coinbase 资安长 Philip Martin 随后在 X 平台回应，表示这是他们在变更某企业钱包时的单一事件，该钱包仅用于累积手续费收入，并没有任何客户资金受到影响。
目前，公司已经立刻采取补救措施，包括撤销 (revoke) 所有错误授权，并将资金转移至新的企业钱包，以避免同样情况再次发生。
虽然对 Coinbase 来说，30 万美元可以说是微不足道，但这起事件仍是一次代价不小的警示，凸显规模再大的交易所，仍需要进行几堂资安讲习。
警讯：定期取消不必要授权
这起事件反映了加密资产安全的一个关键脆弱点：“代币授权管理”。在链上世界，任何一次错误的授权，都可能让对方在合约允许的范围内，完全掌控用户资产。更因为链上行为是公开透明且不可逆的，资金几乎不可能追回。
此事也为个人用户带来警讯：“定期检查并撤销不再需要的授权，是链上资安防护的基本动作。”实用工具如授权撤销网站 Revoke 等，都能帮助用户及时清理潜在风险。
风险提示
加密货币投资具有高度风险，其价格可能波动剧烈，您可能损失全部本金。请谨慎评估风险。