Phishing-tyv stjal en halv million – men en automatiseret bot snød ham for størstedelen

Få timer senere forsøgte angriberen at veksle de stjålne stablecoins til ETH via en decentral børs. Det var her, operationen faldt fra hinanden – ikke på grund af et protokol-hack, men fordi angriberen undlod at indstille slippage-beskyttelse på handlen. En automatiseret MEV-bot opdagede den ventende transaktion i det offentlige mempool og udførte et klassisk sandwich-angreb: den købte ETH lige før angriberens swap (hvilket drev prisen op), lod angriberens køb udføres til den oppustede pris og solgte derefter straks sin ETH-position med fortjeneste .

Botten hentede cirka 371.000 dollars af de stjålne midler og betalte omkring 3,5 ETH i gas-gebyrer for at sikre transaktionsrækkefølgen. Angriberen slap kun væk med omkring 67 WETH (ca. 129.000 dollars) – et nettotab på over 74% af byttet .

Sådan virkede MEV-sandwich-angrebet

Et sandwich-angreb er en form for maximal extractable value (MEV)-udnyttelse, der bygger på transaktionsrækkefølge i et offentligt blockchain-mempool. Sådan gjorde botten det :

1. Mempool-overvågning: MEV-bots scanner løbende det offentlige mempool for store, ventende swap-transaktioner med svag slippage-tolerance.
2. Front-running: Botten opdager angriberens swap (køb af ETH med USDC) og indsender straks sin egen købsordre for ETH før angriberens transaktion.
3. Offeret udfylder midten: Angriberens swap udføres til den nu højere pris og modtager mindre ETH for samme mængde USDC.
4. Back-running: Botten sælger sin ETH umiddelbart efter angriberens transaktion og tjener på prisforskellen.

I dette tilfælde brugte angriberen Uniswap V4 uden at sætte en slippage-grænse, hvilket gav botten næsten ubegrænset plads til at manipulere udførelsesprisen på tværs af transaktionsbatchen .

Hvad dette afslører om DeFi-sikkerhed

• MEV-bots er upartiske opportunister. De skelner ikke mellem legitime handlende og kriminelle. Enhver transaktion, der er synlig i det offentlige mempool med svage slippage-indstillinger, er et mål – uanset hvem der sendte den .
• Slippage-beskyttelse er ikke til forhandling. Angriberen indstillede swappen uden en stram slippage-tolerance, hvilket gav botten mulighed for at manipulere udførelsesprisen på tværs af flere blokke. En lille slippage-grænse ville have forhindret det meste af tabet .
• DeFis gennemsigtighed er en tveægget sværd. Det samme åbne mempool, der gør DEX-handel tilladelsesfri, gør også store, dårligt konfigurerede handler lette for bots at front-runne og sandwiche .
• Phishing er stadig den mest almindelige indgangsvektor. Det oprindelige tyveri skyldtes en kompromitteret tegnebog, ikke et protokol-hack. Sikkerhed på brugersiden – approvals, signaturer og wallet-hygiejne – forbliver det svageste led .

Vigtige lektioner for brugere

1. Sæt altid en stram slippage-tolerance – typisk 0,5–1% for store swaps på likvide par. Brug aldrig "auto" eller uendelig slippage .
2. Brug MEV-beskyttede RPC-endepunkter eller private mempool-tjenester (f.eks. Flashbots Protect, BloxRoute) for at holde transaktioner ude af det offentlige mempool .
3. Tilbagekald ubrugte token-approvals regelmæssigt. Offeret havde givet en phishing-signatur, der gjorde det muligt for angriberen at dræne USDC direkte .
4. Test store swaps med små beløb først – især efter at have fået kontrol over midler fra en mistænkelig kilde.
5. Forstå, at blockchain-gennemsigtighed kan slå tilbage – at have de private nøgler garanterer ikke sikker udførelse, hvis transaktionen er offentligt synlig og dårligt parametriseret .

Hændelsen er en skarp påmindelse om, at i DeFi betyder teknisk sofistikering noget ved hvert trin – selv kriminelle kan tabe til bedre automatiserede modstandere, når de ignorerer basal transaktionshygiejne.