#MyGateTradeStory

Найвідоміший MEV-бот в Ethereum втратив 7,5 мільйонів доларів США у хованці Honeypot на блокчейні

Зловмисник вивів близько 7,5 мільйонів доларів США з бота JaredFromSubway MEV, одного з найактивніших систем атак типу sandwich-attack в Ethereum, після того, як вдалося обдурити бота, щоб він погодився на використання токенів, яким не слід було надавати дозвіл.

Компанія з безпеки Blockaid, яка виявила цю інцидент, повідомила, що цей бот не був уражений помилкою смарт-контракту, фішинговою атакою або витоком приватного ключа. Навпаки, зловмисник скористався логікою отримання прибутку самого бота для здійснення своїх дій.

Як цей MEV-бот був обманутий

Бот JaredFromSubway MEV виконує автоматичну стратегію, яка сканує мемпул Ethereum у пошуках вигідних торгових можливостей. Цю практику називають максимальною вилученою цінністю.

Цей бот виконує front-run і back-run щодо інших транзакцій, щоб отримати різницю у ціні, використовуючи тактику, звану sandwich attack.

Цей бот став відомим у квітні 2023 року. За один день він спалив понад 1 мільйон доларів США на газові збори, що становить майже 8% від усіх витрат на газ в Ethereum на той час.

Зловмисник провів тижні, запустивши 66 фальшивих контрактів токенів. Ці фальшиві токени імітували Wrapped Ether (WETH), USD Coin (USDC) і Tether (USDT).

Для цього бота ці контракти виглядали як торгові маршрути, які він шукав. Бот потрапив на пастку і дав дозвіл на використання токенів контракту, контрольованого зловмисником. Одне таке дозвіл вже передало їм понад 92 WETH.

Після цього останній контракт використав відкритий дозвіл для збирання справжніх коштів з бота.

Пастка Reverse-MEV

Ця пастка змінює швидкість і агресивність бота, роблячи їх його слабкістю. Полювання на MEV-ботів не є новим явищем. У 2023 році один з недобросовісних валідаторів вивів близько 25 мільйонів доларів США з sandwich MEV-бота.

«Контракт, контрольований зловмисником, вдалося обдурити систему автоматичного виконання MEV, щоб надати дозвіл на використання токенів, які потім були використані для виведення коштів», — пояснила компанія Blockaid.

Атаки типу sandwich вже давно викликають критику, оскільки їх вважають непрозорим податком для трейдерів-одноденків.

Керівники бота оцінюють збитки майже у 15 мільйонів доларів США. Вони також пропонують нагороду у 1 мільйон доларів США за повернення цих коштів. Тим часом, Blockaid і PeckShield оцінюють вартість вкрадених коштів у мережі приблизно у 7,5 мільйонів доларів США у вигляді WETH, USDC і USDT.

Можливість відновлення коштів оператором зараз залежить від того, чи згоден зловмисник прийняти цю пропозицію.