Ethereum желісіндегі ең ірі MEV-бот жалған өтімділік пулдары арқылы жасалған күрделі шабуыл салдарынан $7,5 млн жоғалтты.
Ethereum желісіндегі ең танымал MEV-боттардың бірі — Jaredfromsubway.eth — күрделі хакерлік шабуылдың құрбаны болды. Шығын $7,5 млн-нан асты. Оқиға Blockaid эксплойттерді анықтау жүйесімен тіркеліп, бүкіл криптоқауымдастықтың назарын бірден аударды.
Arkham аналитикалық платформасының деректері бойынша, ұрланған қаражаттың бір бөлігі Tornado Cash-ке аударылған. Бұл шабуылдаушының іздерді жасыруға және активтерді қадағалауды қиындатуға тырысатынын көрсетеді.
Шабуыл қалай жүргізілді?
Blockaid сарапшылары бұл классикалық фишингтік шабуыл немесе смарт-келісімшарттың дәстүрлі осалдығы емес екенін атап өтеді. Оның орнына, шабуылдаушы танымал активтерге — WETH, USDC және USDT-ге — ұқсатылған ондаған жалған токен-келісімшарттарын орналастырды. Бұл келісімшарттар жалған өтімділік пулдарымен байланысты болды. Көрнекі түрде мұндай құрылымдар пайдалы мәмілелер сияқты көрінді, оларға әдетте MEV-боттар сэндвич-шабуылдарын жүзеге асыру үшін жауап береді.
Боттың автоматтандырылған орындау жүйесі алданып, шабуылдаушының көмекші келісімшарттарына нақты активтерді жұмсауға рұқсат берді. Содан кейін шабуылдаушы бір транзакциямен барлық бэкдорларды іске қосып, қаражатты шығарып алды.
Қауіптің контексті мен ауқымы
Jaredfromsubway.eth — жай бот емес, MEV-операторлар арасындағы нағыз "кит". Бағалаулар бойынша, Ethereum-дағы трейдерлердің сэндвич-шабуылдарынан жылдық шығыны шамамен $60 млн құрайды. Сонымен қатар, 2024 жылдың қарашасынан 2025 жылдың қазанына дейін желіде айына 60 000-нан 90 000-ға дейін осындай операциялар тіркелген, олардың шамамен 70%-ы Jaredfromsubway.eth-пен байланыстырылған.
Еске салайын, 2024 жылдың маусымында бұл бот қысқа уақыт ішінде Ethereum-дағы газдың ең ірі тұтынушысына айналды, бұл оның желіге үлкен әсерін көрсетеді.
Сарапшының пікірі: Бұл оқиға автоматтандырылған MEV-стратегиялардың түбегейлі осалдығын көрсетеді. Тіпті ең күрделі және пайдалы боттар әлеуметтік инженерия мен өтімділік деректерін манипуляциялауға негізделген шабуылдардан сақтандырылмаған. Қауымдастық үшін бұл алаңдатарлық сигнал: егер шабуылдаушы кодқа емес, боттың шешім қабылдау логикасына шабуыл жасаса, смарт-келісімшарттарды қорғаудың дәстүрлі әдістері пайдасыз болуы мүмкін. Нарыққа тек кодты ғана емес, сонымен қатар сыртқы деректердің дұрыстығын да тексере алатын жаңа қауіпсіздік хаттамалары шұғыл қажет.