हैकर ने $501K USDC चुराए, 75% MEV बॉट के हाथों गंवाए: DeFi की करारी सीख

लेकिन कुछ ही घंटों बाद, जब हैकर इन चुराए गए स्टेबलकॉइन को ETH में बदलने के लिए डिसेंट्रलाइज्ड एक्सचेंज पर स्वैप करने गया, तो उसकी पूरी करतूत धरी की धरी रह गई। वजह? हैकर ने स्वैप पर slippage प्रोटेक्शन सेट नहीं किया था। एक ऑटोमेटेड MEV बॉट ने पब्लिक मेमपूल में इस ट्रांजेक्शन को देखा और तुरंत "सैंडविच अटैक" कर दिया: उसने हैकर के स्वैप से ठीक पहले ETH खरीदा (जिससे कीमत बढ़ गई), हैकर की खरीद को बढ़ी हुई कीमत पर होने दिया, और फिर तुरंत अपना ETH बेचकर मुनाफा कमाया ।

इस बॉट ने चुराई गई रकम में से लगभग $3,71,000 हड़प लिए, और इसके लिए उसने करीब 3.5 ETH गैस फीस भी दी। हैकर के हाथ में सिर्फ 67 WETH (लगभग $1,29,000) बचे – यानी उसने चुराई गई रकम का 74% से अधिक गंवा दिया ।

कैसे काम करता है MEV सैंडविच अटैक?

सैंडविच अटैक मैक्सिमल एक्सट्रैक्टेबल वैल्यू (MEV) का एक रूप है, जो पब्लिक ब्लॉकचेन मेमपूल में ट्रांजेक्शन ऑर्डरिंग का फायदा उठाता है। बॉट ने इसे ऐसे अंजाम दिया :

1. मेमपूल मॉनिटरिंग: MEV बॉट लगातार पब्लिक मेमपूल में बड़े स्वैप ट्रांजेक्शन को स्कैन करते हैं, खासकर वे जिनमें slippage की सीमा कमजोर हो।
2. फ्रंट-रनिंग: बॉट हैकर के स्वैप (USDC को ETH में बदलना) को देखता है और तुरंत हैकर के ट्रांजेक्शन से पहले अपना ETH खरीदने का ऑर्डर सबमिट कर देता है।
3. बीच में फंसा पीड़ित: हैकर का स्वैप अब बढ़ी हुई कीमत पर एक्सीक्यूट होता है, जिससे उसे उतने ही USDC के बदले कम ETH मिलते हैं।
4. बैक-रनिंग: हैकर के ट्रांजेक्शन के तुरंत बाद बॉट अपने ETH बेच देता है और कीमत के अंतर से मुनाफा कमाता है।

इस मामले में, हैकर ने Uniswap V4 पर बिना कोई slippage कैप सेट किए स्वैप किया था, जिससे बॉट को ट्रांजेक्शन बैच में एक्सीक्यूशन कीमत में हेरफेर करने की लगभग असीमित गुंजाइश मिल गई ।

यह घटना DeFi सुरक्षा के बारे में क्या बताती है?

• MEV बॉट निष्पक्ष अवसरवादी होते हैं। वे वैध ट्रेडर और अपराधी में फर्क नहीं करते। पब्लिक मेमपूल में दिखने वाला कोई भी ट्रांजेक्शन कमजोर slippage सेटिंग्स के साथ निशाना बन सकता है, चाहे उसे भेजने वाला कोई भी हो ।
• Slippage प्रोटेक्शन अनिवार्य है। हैकर ने स्वैप बिना टाइट slippage टॉलरेंस के सेट किया था, जिससे बॉट कई ब्लॉक्स में एक्सीक्यूशन कीमत को प्रभावित कर सका। एक छोटी slippage सीमा भी अधिकतर नुकसान को रोक सकती थी ।
• DeFi की पारदर्शिता दोधारी तलवार है। वही ओपन मेमपूल जो DEX ट्रेडिंग को परमिशनलेस बनाता है, वहीं बड़े और खराब तरीके से कॉन्फिगर किए गए ट्रेड को बॉट्स के लिए frontrun और सैंडविच करना आसान बना देता है ।
• फिशिंग अब भी सबसे आम प्रवेश द्वार है। शुरुआती चोरी प्रोटोकॉल एक्सप्लॉइट के बजाय एक समझौता किए गए वॉलेट के जरिए हुई। उपयोगकर्ता-पक्ष की सुरक्षा – अप्रूवल, सिग्नेचर और वॉलेट हाइजीन – सबसे कमजोर कड़ी बनी हुई है ।

उपयोगकर्ताओं के लिए मुख्य सबक

1. हमेशा एक टाइट slippage टॉलरेंस सेट करें – तरल पेयर पर बड़े स्वैप के लिए आमतौर पर 0.5%–1%। कभी भी "ऑटो" या अनलिमिटेड slippage का उपयोग न करें ।
2. ट्रांजेक्शन को पब्लिक मेमपूल से बाहर रखने के लिए MEV-प्रोटेक्टेड RPC एंडपॉइंट या प्राइवेट मेमपूल सेवाओं (जैसे Flashbots Protect, BloxRoute) का उपयोग करें ।
3. नियमित रूप से अनप्रयुक्त टोकन अप्रूवल को रिवोक करें। यहां पीड़ित ने एक फिशिंग सिग्नेचर दिया था जिसने हैकर को सीधे USDC निकालने की अनुमति दी ।
4. किसी भी संदिग्ध स्रोत से फंड्स पर नियंत्रण पाने के बाद, पहले छोटी रकम से बड़े स्वैप का परीक्षण करें।
5. समझें कि ब्लॉकचेन की पारदर्शिता उलटी भी पड़ सकती है – प्राइवेट की होने का मतलब सुरक्षित एक्सीक्यूशन की गारंटी नहीं है, अगर ट्रांजेक्शन सार्वजनिक रूप से दिखाई देता है और खराब तरीके से पैरामीटराइज़ किया गया हो ।

यह घटना एक कड़ी याद दिलाती है कि DeFi में, हर कदम पर तकनीकी समझदारी मायने रखती है – यहां तक कि अपराधी भी बेहतर ऑटोमेटेड विरोधियों से हार सकते हैं, जब वे बुनियादी ट्रांजेक्शन हाइजीन को नजरअंदाज करते हैं।