Hackare stal 501 650 USDC – förlorade 75 % till MEV-bot i pinsamt DeFi-misstag

Bara timmar senare försökte hackaren växla de stulna stablecoinsen till ETH via en decentraliserad börs. Men där gick allt fel – inte på grund av en protokoll-bugg, utan för att hackaren inte hade satt något glidningsskydd. En automatiserad MEV-bot upptäckte den väntande transaktionen i den publika mempoolen och genomförde en klassisk "sandwich-attack": den köpte ETH precis före hackarens byte (vilket drev upp priset), lät hackarens köp gå igenom till det uppblåsta priset, och sålde sedan omedelbart sin ETH-position för vinst .

Boten plockade på sig cirka 371 000 dollar av de stulna medlen och betalade cirka 3,5 ETH i gasavgifter för att säkra transaktionsordningen. Hackaren blev kvar med endast cirka 67 WETH (~129 000 dollar) – en nettoförlust på över 74 % av stöldbytet .

Så fungerade MEV-sandwich-attacken

En sandwich-attack är en form av MEV-exploatering (maximal extractable value) som utnyttjar transaktionsordningen i en publik blockkedja. Så här gick det till :

1. Mempool-övervakning: MEV-bottar scannar kontinuerligt den publika mempoolen efter stora, väntande byte-transaktioner med svaga glidningstoleranser.
2. Frontrunning: Boten upptäcker hackarens byte (köp av ETH med USDC) och skickar omedelbart en egen köporder för ETH före hackarens transaktion.
3. Offret hamnar i mitten: Hackarens byte genomförs till det nu högre priset, vilket ger mindre ETH för samma mängd USDC.
4. Backrunning: Boten säljer sin ETH direkt efter hackarens transaktion och tjänar på prisskillnaden.

I det här fallet använde hackaren Uniswap V4 utan att sätta någon glidningsgräns, vilket gav boten nästan obegränsat utrymme att manipulera priset över transaktionsbatchen .

Vad detta säger om DeFi-säkerhet

• MEV-bottar agerar som opartiska opportunister. De gör skillnad på legitima handlare och kriminella. Alla transaktioner som syns i den publika mempoolen med svaga glidningsinställningar är ett mål, oavsett vem som skickat dem .
• Glidningsskydd är inte förhandlingsbart. Hackaren genomförde bytet utan en snäv glidningstolerans, vilket gjorde att boten kunde manipulera priset över flera block. En liten glidningsgräns hade förhindrat större delen av förlusten .
• DeFi:s transparens har två sidor. Samma öppna mempool som gör DEX-handel tillståndsfri gör också stora, dåligt konfigurerade affärer till lätta mål för frontrunning och sandwich-attacker .
• Phishing är fortfarande den vanligaste ingångsvektorn. Den första stölden berodde på en komprometterad plånbok, inte en protokoll-exploatering. Användarsäkerhet – godkännanden, signaturer och plånbokshygien – är fortfarande den svagaste länken .

Viktiga lärdomar för användare

1. Sätt alltid en snäv glidningstolerans – normalt 0,5–1 % för stora byten på likvida par. Använd aldrig "auto" eller oändlig glidning .
2. Använd MEV-skyddade RPC-slutpunkter eller privata mempooltjänster (t.ex. Flashbots Protect, BloxRoute) för att hålla transaktioner utanför den publika mempoolen .
3. Återkalla oanvända token-godkännanden regelbundet. Offret här hade gett en phishing-signatur som gjorde att hackaren kunde tömma USDC direkt .
4. Testa stora byten med små belopp först – särskilt efter att ha fått kontroll över medel från en misstänkt källa.
5. Förstå att blockkedjans transparens kan bli en nackdel – att ha privata nycklar garanterar inte en säker genomföring om transaktionen är offentligt synlig och dåligt parameteriserad .

Incidenten är en skarp påminnelse om att i DeFi spelar teknisk sofistikering roll i varje steg – även kriminella kan förlora mot bättre automatiserade motståndare om de ignorerar grundläggande transaktionshygien.