Bara timmar senare försökte hackaren växla de stulna stablecoinsen till ETH via en decentraliserad börs. Men där gick allt fel – inte på grund av en protokoll-bugg, utan för att hackaren inte hade satt något glidningsskydd. En automatiserad MEV-bot upptäckte den väntande transaktionen i den publika mempoolen och genomförde en klassisk "sandwich-attack": den köpte ETH precis före hackarens byte (vilket drev upp priset), lät hackarens köp gå igenom till det uppblåsta priset, och sålde sedan omedelbart sin ETH-position för vinst .

Boten plockade på sig cirka 371 000 dollar av de stulna medlen och betalade cirka 3,5 ETH i gasavgifter för att säkra transaktionsordningen. Hackaren blev kvar med endast cirka 67 WETH (~129 000 dollar) – en nettoförlust på över 74 % av stöldbytet .

Så fungerade MEV-sandwich-attacken

En sandwich-attack är en form av MEV-exploatering (maximal extractable value) som utnyttjar transaktionsordningen i en publik blockkedja. Så här gick det till :

1. Mempool-övervakning: MEV-bottar scannar kontinuerligt den publika mempoolen efter stora, väntande byte-transaktioner med svaga glidningstoleranser.
2. Frontrunning: Boten upptäcker hackarens byte (köp av ETH med USDC) och skickar omedelbart en egen köporder för ETH före hackarens transaktion.
3. Offret hamnar i mitten: Hackarens byte genomförs till det nu högre priset, vilket ger mindre ETH för samma mängd USDC.
4. Backrunning: Boten säljer sin ETH direkt efter hackarens transaktion och tjänar på prisskillnaden.

I det här fallet använde hackaren Uniswap V4 utan att sätta någon glidningsgräns, vilket gav boten nästan obegränsat utrymme att manipulera priset över transaktionsbatchen .

Vad detta säger om DeFi-säkerhet

• MEV-bottar agerar som opartiska opportunister. De gör skillnad på legitima handlare och kriminella. Alla transaktioner som syns i den publika mempoolen med svaga glidningsinställningar är ett mål, oavsett vem som skickat dem .
• Glidningsskydd är inte förhandlingsbart. Hackaren genomförde bytet utan en snäv glidningstolerans, vilket gjorde att boten kunde manipulera priset över flera block. En liten glidningsgräns hade förhindrat större delen av förlusten .
• DeFi:s transparens har två sidor. Samma öppna mempool som gör DEX-handel tillståndsfri gör också stora, dåligt konfigurerade affärer till lätta mål för frontrunning och sandwich-attacker .
• Phishing är fortfarande den vanligaste ingångsvektorn. Den första stölden berodde på en komprometterad plånbok, inte en protokoll-exploatering. Användarsäkerhet – godkännanden, signaturer och plånbokshygien – är fortfarande den svagaste länken .

Viktiga lärdomar för användare

1. Sätt alltid en snäv glidningstolerans – normalt 0,5–1 % för stora byten på likvida par. Använd aldrig "auto" eller oändlig glidning .
2. Använd MEV-skyddade RPC-slutpunkter eller privata mempooltjänster (t.ex. Flashbots Protect, BloxRoute) för att hålla transaktioner utanför den publika mempoolen .
3. Återkalla oanvända token-godkännanden regelbundet. Offret här hade gett en phishing-signatur som gjorde att hackaren kunde tömma USDC direkt .
4. Testa stora byten med små belopp först – särskilt efter att ha fått kontroll över medel från en misstänkt källa.
5. Förstå att blockkedjans transparens kan bli en nackdel – att ha privata nycklar garanterar inte en säker genomföring om transaktionen är offentligt synlig och dåligt parameteriserad .

Incidenten är en skarp påminnelse om att i DeFi spelar teknisk sofistikering roll i varje steg – även kriminella kan förlora mot bättre automatiserade motståndare om de ignorerar grundläggande transaktionshygien.

Bara timmar senare försökte hackaren växla de stulna stablecoinsen till ETH via en decentraliserad börs. Men där gick allt fel – inte på grund av en protokoll-bugg, utan för att hackaren inte hade satt något glidningsskydd. En automatiserad MEV-bot upptäckte den väntande transaktionen i den publika mempoolen och genomförde en klassisk "sandwich-attack": den köpte ETH precis före hackarens byte (vilket drev upp priset), lät hackarens köp gå igenom till det uppblåsta priset, och sålde sedan omedelbart sin ETH-position för vinst .

Boten plockade på sig cirka 371 000 dollar av de stulna medlen och betalade cirka 3,5 ETH i gasavgifter för att säkra transaktionsordningen. Hackaren blev kvar med endast cirka 67 WETH (~129 000 dollar) – en nettoförlust på över 74 % av stöldbytet .

Så fungerade MEV-sandwich-attacken

En sandwich-attack är en form av MEV-exploatering (maximal extractable value) som utnyttjar transaktionsordningen i en publik blockkedja. Så här gick det till :

1. Mempool-övervakning: MEV-bottar scannar kontinuerligt den publika mempoolen efter stora, väntande byte-transaktioner med svaga glidningstoleranser.
2. Frontrunning: Boten upptäcker hackarens byte (köp av ETH med USDC) och skickar omedelbart en egen köporder för ETH före hackarens transaktion.
3. Offret hamnar i mitten: Hackarens byte genomförs till det nu högre priset, vilket ger mindre ETH för samma mängd USDC.
4. Backrunning: Boten säljer sin ETH direkt efter hackarens transaktion och tjänar på prisskillnaden.

I det här fallet använde hackaren Uniswap V4 utan att sätta någon glidningsgräns, vilket gav boten nästan obegränsat utrymme att manipulera priset över transaktionsbatchen .

Vad detta säger om DeFi-säkerhet

• MEV-bottar agerar som opartiska opportunister. De gör skillnad på legitima handlare och kriminella. Alla transaktioner som syns i den publika mempoolen med svaga glidningsinställningar är ett mål, oavsett vem som skickat dem .
• Glidningsskydd är inte förhandlingsbart. Hackaren genomförde bytet utan en snäv glidningstolerans, vilket gjorde att boten kunde manipulera priset över flera block. En liten glidningsgräns hade förhindrat större delen av förlusten .
• DeFi:s transparens har två sidor. Samma öppna mempool som gör DEX-handel tillståndsfri gör också stora, dåligt konfigurerade affärer till lätta mål för frontrunning och sandwich-attacker .
• Phishing är fortfarande den vanligaste ingångsvektorn. Den första stölden berodde på en komprometterad plånbok, inte en protokoll-exploatering. Användarsäkerhet – godkännanden, signaturer och plånbokshygien – är fortfarande den svagaste länken .

Viktiga lärdomar för användare

1. Sätt alltid en snäv glidningstolerans – normalt 0,5–1 % för stora byten på likvida par. Använd aldrig "auto" eller oändlig glidning .
2. Använd MEV-skyddade RPC-slutpunkter eller privata mempooltjänster (t.ex. Flashbots Protect, BloxRoute) för att hålla transaktioner utanför den publika mempoolen .
3. Återkalla oanvända token-godkännanden regelbundet. Offret här hade gett en phishing-signatur som gjorde att hackaren kunde tömma USDC direkt .
4. Testa stora byten med små belopp först – särskilt efter att ha fått kontroll över medel från en misstänkt källa.
5. Förstå att blockkedjans transparens kan bli en nackdel – att ha privata nycklar garanterar inte en säker genomföring om transaktionen är offentligt synlig och dåligt parameteriserad .

Incidenten är en skarp påminnelse om att i DeFi spelar teknisk sofistikering roll i varje steg – även kriminella kan förlora mot bättre automatiserade motståndare om de ignorerar grundläggande transaktionshygien.