Gestolen crypto verdwijnt als sneeuw voor de zon: hacker verliest $371.000 aan eigen MEV-bot

Op 6 augustus 2026 stal een phishing-aanvaller ongeveer $501.650 USDC uit een wallet op het Base-netwerk (Coinbase's Ethereum Layer-2) . De diefstal vond plaats rond 02:29 UTC nadat de aanvaller de wallet van het slachtoffer had gecompromitteerd via een phishing-handtekening, waarmee hij direct toegang kreeg om de USDC-balans leeg te trekken .

Uren later probeerde de aanvaller de gestolen stablecoins om te zetten in ETH via een decentrale exchange. Toen liep het mis – niet door een protocolfout, maar omdat de aanvaller geen slippagebescherming had ingesteld op de swap. Een geautomatiseerde MEV-bot ontdekte de openstaande transactie in de publieke mempool en voerde een klassieke "sandwichaanval" uit: hij kocht ETH vlak voor de swap van de aanvaller (waardoor de prijs omhoogging), liet de aankoop van de aanvaller tegen de opgedreven prijs plaatsvinden, en verkocht zijn ETH onmiddellijk weer met winst .

De bot trok ongeveer $371.000 van de gestolen fondsen af, en betaalde daarbij zo'n 3,5 ETH aan transactiekosten om de volgorde van de transacties veilig te stellen. De aanvaller hield slechts ongeveer 67 WETH (~$129.000) over – een nettoverlies van meer dan 74% van de oorspronkelijke buit .

Hoe de MEV-sandwichaanval werkte

Een sandwichaanval is een vorm van maximal extractable value (MEV)-exploitatie die gebruikmaakt van de volgorde van transacties in een openbare blockchain-mempool. Zo werkte de bot :

1. Mempool-bewaking: MEV-bots scannen continu de openbare mempool op grote, openstaande swap-transacties met een zwakke slippage-tolerantie.
2. Frontrunnen: De bot ziet de swap van de aanvaller (ETH kopen met USDC) en plaatst onmiddellijk zijn eigen kooporder voor ETH vóór de transactie van de aanvaller.
3. Slachtoffer vult het midden: De swap van de aanvaller wordt uitgevoerd tegen de inmiddels hogere prijs, waardoor hij minder ETH krijgt voor hetzelfde aantal USDC.
4. Backrunnen: De bot verkoopt zijn ETH direct na de transactie van de aanvaller en profiteert van het prijsverschil.

In dit geval gebruikte de aanvaller Uniswap V4 zonder een slippage-limiet in te stellen, waardoor de bot bijna onbeperkt kon spelen met de uitvoeringsprijs in de transactiebatch .

Wat dit zegt over DeFi-beveiliging

• MEV-bots zijn onpartijdige opportunisten. Ze maken geen onderscheid tussen legitieme handelaren en criminelen. Elke transactie die zichtbaar is in de openbare mempool met zwakke slippage-instellingen is een doelwit, ongeacht wie hem verstuurt .
• Slippagebescherming is niet onderhandelbaar. De aanvaller stelde de swap in zonder een strakke slippage-tolerantie, waardoor de bot de uitvoeringsprijs over meerdere blokken kon manipuleren. Een kleine slippage-limiet had het grootste deel van het verlies kunnen voorkomen .
• Transparantie van DeFi is een tweesnijdend zwaard. Dezelfde open mempool die permissionless handelen op DEX'en mogelijk maakt, maakt grote, slecht geconfigureerde transacties ook een makkelijk doelwit voor frontrunnen en sandwichaanvallen .
• Phishing is nog steeds de meest voorkomende toegangsweg. De eerste diefstal gebeurde via een gecompromitteerde wallet, niet via een protocolfout. Beveiliging aan de gebruikerskant – goedkeuringen, handtekeningen en wallet-hygiëne – blijft de zwakste schakel .

Belangrijkste lessen voor gebruikers

1. Stel altijd een strakke slippage-tolerantie in – doorgaans 0,5% tot 1% voor grote swaps op liquide paren. Gebruik nooit "automatisch" of oneindige slippage .
2. Gebruik MEV-beschermde RPC-eindpunten of private mempool-diensten (bijv. Flashbots Protect, BloxRoute) om transacties uit de openbare mempool te houden .
3. Trek ongebruikte token-goedkeuringen regelmatig in. Het slachtoffer had een phishing-handtekening gegeven waarmee de aanvaller direct USDC kon afschrijven .
4. Test grote swaps eerst met kleine bedragen – vooral als je de controle over fondsen hebt gekregen via een verdachte bron.
5. Begrijp dat blockchain-transparantie kan tegenwerken – het hebben van de privésleutels garandeert geen veilige uitvoering als de transactie openbaar zichtbaar is en slecht is ingesteld .

Het incident is een harde herinnering dat in DeFi technische kennis bij elke stap van belang is – zelfs criminelen kunnen verliezen van beter geautomatiseerde tegenstanders als ze de basis van transactiehygiëne negeren.