- Регистрация
- Окт 17, 2022
- Сообщения
- 870
- Реакции
- 91
- Награды
- 1
Бот JaredFromSubway, использующий технологию Ethereum MEV (Maximal Extractable Value), понес убытки в размере 15 миллионов долларов после того, как злоумышленник манипулировал логикой обнаружения возможностей, создавая поддельные торговые возможности для криптовалюты.
В субботу утечку средств обнаружила компания Blockaid, специализирующаяся на безопасности блокчейна, а сегодня JaredFromSubway подтвердил, что злоумышленник использовал поддельные пулы и токены, чтобы обманом заставить бота одобрить вспомогательные контракты.
По данным Blockaid, злоумышленник использовал контракты, которые выглядели как прибыльные возможности для MEV-кредитования, в автоматизированной системе исполнения ордеров JaredFromSubway.
Бот автоматически анализировал маршруты и торговые возможности, которые казались финансово выгодными. Затем он генерировал транзакции, необходимые для их выполнения, предоставляя одобрение в токенах ERC-20 контрактам, контролируемым злоумышленником.
По всей видимости, злоумышленник тщательно спланировал ограбление, поскольку первые транзакции служили безобидными проверками, помогающими подтвердить алгоритмы действий бота. Позже злоумышленник изменил маршрут таким образом, чтобы предоставленные средства не расходовались и не отзывались после подтверждения ботом.
Злоумышленник накопил действительные разрешения на расходование средств, не используя их немедленно, достигнув суммы в 92,1614 WETH, одобренной для вспомогательного контракта, контролируемого злоумышленником.
Наконец, злоумышленник использовал открытые разрешения для вывода WETH, USDC и USDT из контракта бота JaredFromSubway MEV через функцию transferFrom.
MEV-боты — это сверхбыстрые автоматизированные торговые системы, которые сканируют Ethereum и другие блокчейны в поисках возможностей для заработка, используя порядок и время транзакций до того, как они будут включены в блок.
JaredFromSubway — это частный MEV-проект, код которого недоступен для публичного доступа, известный как один из самых агрессивных и заметных «сэндвич-ботов» в сети Ethereum.
При использовании так называемой «сэндвич-атаки» бот обнаруживает незавершенную сделку пользователя, размещает ордер на покупку непосредственно перед ней, а затем сразу же продает, получая прибыль от изменения цены, вызванного транзакцией жертвы.
Эта практика вызывает споры, поскольку часто приводит к снижению цен для обычных трейдеров, в то время как оператор бота получает прибыль.
Первоначально JaredFromSubway предложил злоумышленнику награду в 3 миллиона долларов за полный возврат украденных средств, пообещав, что никаких дальнейших действий предприниматься не будет.
Не получив ответа, JaredFromSubway увеличил вознаграждение до 7,5 миллионов долларов за возврат лишь 50% украденного, при этом 1 миллион долларов будет передан местному сообществу.
Пользователь JaredFromSubway также ведет переговоры с «группой хакеров-экологов» по поводу украденных 15 миллионов долларов, но подтверждения сделки пока нет.
В субботу утечку средств обнаружила компания Blockaid, специализирующаяся на безопасности блокчейна, а сегодня JaredFromSubway подтвердил, что злоумышленник использовал поддельные пулы и токены, чтобы обманом заставить бота одобрить вспомогательные контракты.
По данным Blockaid, злоумышленник использовал контракты, которые выглядели как прибыльные возможности для MEV-кредитования, в автоматизированной системе исполнения ордеров JaredFromSubway.
Бот автоматически анализировал маршруты и торговые возможности, которые казались финансово выгодными. Затем он генерировал транзакции, необходимые для их выполнения, предоставляя одобрение в токенах ERC-20 контрактам, контролируемым злоумышленником.
По всей видимости, злоумышленник тщательно спланировал ограбление, поскольку первые транзакции служили безобидными проверками, помогающими подтвердить алгоритмы действий бота. Позже злоумышленник изменил маршрут таким образом, чтобы предоставленные средства не расходовались и не отзывались после подтверждения ботом.
Злоумышленник накопил действительные разрешения на расходование средств, не используя их немедленно, достигнув суммы в 92,1614 WETH, одобренной для вспомогательного контракта, контролируемого злоумышленником.
Наконец, злоумышленник использовал открытые разрешения для вывода WETH, USDC и USDT из контракта бота JaredFromSubway MEV через функцию transferFrom.
Карма настигает.
MEV-боты — это сверхбыстрые автоматизированные торговые системы, которые сканируют Ethereum и другие блокчейны в поисках возможностей для заработка, используя порядок и время транзакций до того, как они будут включены в блок.
JaredFromSubway — это частный MEV-проект, код которого недоступен для публичного доступа, известный как один из самых агрессивных и заметных «сэндвич-ботов» в сети Ethereum.
При использовании так называемой «сэндвич-атаки» бот обнаруживает незавершенную сделку пользователя, размещает ордер на покупку непосредственно перед ней, а затем сразу же продает, получая прибыль от изменения цены, вызванного транзакцией жертвы.
Эта практика вызывает споры, поскольку часто приводит к снижению цен для обычных трейдеров, в то время как оператор бота получает прибыль.
Первоначально JaredFromSubway предложил злоумышленнику награду в 3 миллиона долларов за полный возврат украденных средств, пообещав, что никаких дальнейших действий предприниматься не будет.
Не получив ответа, JaredFromSubway увеличил вознаграждение до 7,5 миллионов долларов за возврат лишь 50% украденного, при этом 1 миллион долларов будет передан местному сообществу.
Пользователь JaredFromSubway также ведет переговоры с «группой хакеров-экологов» по поводу украденных 15 миллионов долларов, но подтверждения сделки пока нет.
