Hacker đánh cắp nửa triệu USDC nhưng 'mất trắng' 75% vì bot MEV

Vài giờ sau, kẻ tấn công cố gắng chuyển đổi số stablecoin đánh cắp thành ETH qua một sàn giao dịch phi tập trung (DEX). Đây là lúc mọi chuyện đổ vỡ. Nguyên nhân không phải do lỗi giao thức, mà vì kẻ tấn công đã không thiết lập mức chống trượt giá (slippage protection) cho giao dịch. Một bot MEV tự động phát hiện giao dịch đang chờ xử lý trong mempool công khai và thực hiện một cuộc tấn công sandwich cổ điển: bot mua ETH ngay trước lệnh swap của hacker (đẩy giá lên), để lệnh của hacker được khớp ở mức giá cao hơn, rồi ngay lập tức bán số ETH đó để kiếm lời .

Bot đã trích xuất khoảng 371.000 USD trong số tiền bị đánh cắp, đồng thời trả khoảng 3,5 ETH phí gas để đảm bảo thứ tự giao dịch. Kẻ tấn công chỉ còn lại khoảng 67 WETH (~129.000 USD) — tức mất hơn 74% số tiền đã lấy cắp .

Cách bot MEV thực hiện tấn công sandwich

Tấn công sandwich là một dạng khai thác giá trị tối đa có thể trích xuất (MEV), dựa vào việc sắp xếp thứ tự giao dịch trong mempool công khai của blockchain. Bot đã thực hiện theo các bước sau :

1. Theo dõi mempool: Bot MEV liên tục quét mempool công khai để tìm các giao dịch swap lớn đang chờ, đặc biệt là những giao dịch có mức chịu trượt giá quá cao.
2. Chạy trước (Front-running): Bot phát hiện lệnh swap của hacker (mua ETH bằng USDC) và ngay lập tức gửi lệnh mua ETH của chính nó vào trước lệnh của hacker.
3. Nạn nhân mua ở giữa: Lệnh swap của hacker được khớp ở mức giá đã bị đẩy lên cao hơn, khiến hacker nhận được ít ETH hơn cho cùng một lượng USDC.
4. Bán lại (Back-running): Bot bán số ETH nó vừa mua ngay sau khi giao dịch của hacker hoàn tất, hưởng chênh lệch giá.

Trong trường hợp này, hacker sử dụng Uniswap V4 mà không cài đặt mức trượt giá tối đa (slippage cap), tạo điều kiện cho bot gần như thoải mái thao túng giá thực thi trong suốt batch giao dịch .

Vụ việc này nói lên điều gì về bảo mật DeFi?

• Bot MEV hoạt động như những kẻ cơ hội vô tư. Chúng không phân biệt giữa người giao dịch hợp pháp và tội phạm. Bất kỳ giao dịch nào hiển thị trong mempool công khai với cài đặt trượt giá yếu đều là mục tiêu, bất kể người gửi là ai .
• Chống trượt giá là không thể thương lượng. Hacker đã thực hiện swap mà không có mức dung sai trượt giá chặt chẽ, cho phép bot thao túng giá thực thi qua nhiều block. Một mức trượt giá nhỏ đã có thể ngăn chặn phần lớn tổn thất .
• Sự minh bạch của DeFi là con dao hai lưỡi. Chính mempool mở giúp giao dịch DEX không cần cấp phép cũng là thứ khiến các lệnh giao dịch lớn được cấu hình kém dễ bị bot chạy trước và chèn ép .
• Lừa đảo phishing vẫn là vector tấn công phổ biến nhất. Vụ trộm ban đầu dựa vào một ví bị xâm phạm, không phải do lỗi giao thức. Bảo mật phía người dùng — phê duyệt (approval), chữ ký và vệ sinh ví — vẫn là mắt xích yếu nhất .

Bài học quan trọng cho người dùng

1. Luôn đặt mức dung sai trượt giá chặt chẽ — thường là 0,5%–1% cho các swap lớn trên các cặp thanh khoản cao. Không bao giờ sử dụng chế độ "tự động" hoặc trượt giá vô hạn .
2. Sử dụng RPC được bảo vệ khỏi MEV hoặc dịch vụ mempool riêng tư (ví dụ: Flashbots Protect, BloxRoute) để giữ giao dịch của bạn khỏi mempool công khai .
3. Thường xuyên thu hồi các token approval không dùng đến. Nạn nhân trong vụ này đã ký một chữ ký phishing cho phép hacker rút trực tiếp USDC .
4. Kiểm tra các swap lớn với một lượng nhỏ trước — đặc biệt là sau khi giành được quyền kiểm soát tài sản từ bất kỳ nguồn nào đáng ngờ.
5. Hiểu rằng tính minh bạch của blockchain có thể phản tác dụng — có private keys không đảm bảo thực thi an toàn nếu giao dịch hiển thị công khai và được tham số hóa kém .

Vụ việc là một lời nhắc nhở rõ ràng rằng trong DeFi, sự tinh vi về mặt kỹ thuật là cần thiết ở mọi bước — ngay cả tội phạm cũng có thể thua trước những đối thủ tự động hóa tốt hơn nếu chúng bỏ qua những nguyên tắc giao dịch cơ bản.