MEV-алыпқа шабуыл: Jaredfromsubway.eth боты $7,5 миллионнан астам жоғалтты
Ethereum желісіндегі сэндвич-шабуылдар саласында ұзақ уақыт үстемдік еткен танымал MEV-бот Jaredfromsubway.eth күрделі хакерлік шабуылдың құрбаны болды. Шығын $7,5 млн-нан астам цифрлық активтерді құрады. Бұл оқиға смарт-келісімшарттардың өзінде емес, осындай боттар құрылған автоматты шешім қабылдау тетіктеріндегі осалдықтарды ашты.
Шабуыл қалай жүргізілді
Эксплойттерді анықтаумен айналысатын Blockaid компаниясының сарапшылары зиянкестің өзіне бағынышты смарт-келісімшарттар арқылы әрекет еткенін анықтады. Ол танымал өтімді активтер — WETH, USDC және USDT ретінде бүркемеленген ондаған жалған токен келісімшарттарын орналастырды. Бұл келісімшарттар пайдалы сауда мүмкіндіктерін көрнекі түрде имитациялайтын жалған өтімділік пулдарымен байланысты болды.
Дәл осындай «пайдалы» мәмілелерге MEV-боттар әдетте сэндвич-шабуыл жасауға тырысып, жауап береді. Нәтижесінде боттың автоматтандырылған орындау жүйесі алданып, шабуылдаушының көмекші келісімшарттарына нақты активтерді жұмсауға рұқсаттар (approvals) берді. Осыдан кейін зиянкес бір транзакциямен барлық салынған бэкдорларды іске қосып, қаражатты шығарып алды. Ұрланған монеталардың бір бөлігі Tornado Cash миксеріне жіберілген.
Ауқымы мен салдары
Айта кету керек, Jaredfromsubway.eth көптеген MEV-боттардың бірі ғана емес еді. Менің деректерім бойынша, 2024 жылдың қарашасынан 2025 жылдың қазанына дейін Ethereum желісінде ай сайын 60 000-нан 90 000-ға дейін сэндвич-шабуыл тіркелген және олардың шамамен 70%-ы дәл осы ботпен байланыстырылған. Оның трейдерлердің осындай манипуляциялардан болған шығындарына жыл сайынғы «үлесі» шамамен $60 млн деп бағаланған. 2024 жылдың маусымында бұл бот тіпті Ethereum желісіндегі ең ірі газ тұтынушысына айналған, бұл оның ауқымы мен агрессивтілігін көрсетеді.
Менің кәсіби пікірім: Бұл шабуыл — кезекті бұзу ғана емес. Бұл басқа адамдардың транзакцияларынан пайда табуға бағытталған ең күрделі автоматтандырылған жүйелердің өзін жасаушыларына қарсы қолдануға болатынының дәлелі. Бұл оқиға симуляциялар мен қол қойылатын рұқсаттарға сенімге негізделген бүкіл MEV экожүйесінің сенімділігін күмәнға қалдырады. Жақын арада біз осындай боттардың қауіпсіздігіне қойылатын талаптардың күшейетінін және олардың өтімділікпен өзара әрекеттесу архитектурасының қайта қаралатынын көретін шығармыз.