#MyGateTradeStory

Bot MEV Nổi Tiếng Nhất trên Ethereum Mất 7,5 Triệu USD Trong Bẫy Honeypot On-Chain

Một kẻ tấn công đã rút khoảng 7,5 triệu USD từ bot JaredFromSubway MEV, một trong những hệ thống tấn công sandwich hoạt động tích cực nhất trên Ethereum, sau khi thành công lừa bot này đồng ý sử dụng token mà không nên cấp phép.

Công ty an ninh Blockaid, người phát hiện ra sự cố này, cho biết rằng bot này không gặp lỗi hợp đồng thông minh, tấn công lừa đảo qua email, hoặc rò rỉ khoá riêng. Thay vào đó, kẻ tấn công đã lợi dụng logic lợi nhuận của chính bot để thực hiện hành động của mình.

Làm thế nào Bot MEV này bị lừa

Bot JaredFromSubway MEV thực hiện chiến lược tự động quét mempool của Ethereum để tìm các cơ hội giao dịch có lợi. Thực hành này được gọi là giá trị tối đa có thể khai thác.

Bot này thực hiện front-run và back-run các giao dịch khác để kiếm chênh lệch giá, bằng chiến thuật gọi là tấn công sandwich.

Bot này nổi tiếng vào tháng 4 năm 2023. Trong một ngày, bot đã tiêu hơn 1 triệu USD cho phí gas, tương đương gần 8% tổng chi tiêu gas của Ethereum vào thời điểm đó.

Kẻ tấn công đã dành nhiều tuần để phát hành 66 hợp đồng token giả. Các token giả này bắt chước Wrapped Ether (WETH), USD Coin (USDC), và Tether (USDT).

Đối với bot này, các hợp đồng này trông giống như các tuyến đường giao dịch mà nó đang tìm kiếm. Bot đã bị mắc mưu, và cấp phép sử dụng token cho các hợp đồng trung gian do kẻ tấn công kiểm soát. Chỉ một lần cấp phép đã chuyển hơn 92 WETH cho chúng.

Sau đó, hợp đồng cuối cùng đã sử dụng quyền mở này để rút sạch tiền thật từ bot.

Bẫy Reverse-MEV

Bẫy này đã biến tốc độ và tính hung hãn của bot thành điểm yếu của chính nó. Việc săn lùng bot MEV không phải là điều mới. Vào năm 2023, một validator gian lận đã rút khoảng 25 triệu USD từ bot MEV sandwich.

“Các hợp đồng do kẻ tấn công kiểm soát đã thành công lừa hệ thống thực thi MEV tự động cấp phép sử dụng token, sau đó dùng để rút tiền,” Blockaid giải thích.

Các cuộc tấn công sandwich như thế này đã lâu bị chỉ trích vì bị xem như một loại thuế vô hình đối với các nhà giao dịch hàng ngày.

Nhà quản lý bot ước tính thiệt hại gần 15 triệu USD. Họ cũng đề xuất thưởng 1 triệu USD nếu số tiền này được hoàn trả. Trong khi đó, Blockaid và PeckShield ước tính số tiền bị rút khỏi mạng đạt khoảng 7,5 triệu USD dưới dạng WETH, USDC, và USDT.

Khả năng nhà điều hành có thể khôi phục số tiền này hiện phụ thuộc vào việc kẻ tấn công có sẵn lòng chấp nhận đề nghị hay không.