黑客偷咗50萬USDC，點知輸咗75%俾MEV機械人：DeFi保安警號

幾粒鐘之後，攻擊者嘗試透過去中心化交易所（DEX）將呢筆偷返嚟嘅穩定幣換成ETH。點知出事——因為攻擊者冇set滑價保護（slippage protection）。一個自動化嘅MEV機械人偵測到呢筆喺公開mempool等緊處理嘅交易，執行咗經典嘅 「三文治攻擊」：佢喺攻擊者嘅swap之前買入ETH（推高價格），等攻擊者用貴價完成交易，然後即時賣出自己嘅ETH獲利 。

呢個機械人從中拎走咗大約 $371,000，仲要俾咗大約3.5 ETH嘅gas費嚟確保交易排序。最後攻擊者只得返大約 67 WETH（約$129,000）——即係損失咗超過 74% 嘅贓款 。

MEV三文治攻擊係點運作？

三文治攻擊係一種最大可提取價值（MEV）嘅玩法，靠公開區塊鏈mempool嘅交易排序嚟搵食。個機械人係咁做嘅 ：

1. 監控mempool： MEV機械人持續掃描公開mempool，搵大額嘅pending swap交易，尤其係滑價設定得鬆嘅。
2. Front-running： 機械人見到攻擊者嘅swap（用USDC買ETH），立即提交自己嘅買入訂單，喺攻擊者之前買ETH。
3. 中間受害者： 攻擊者嘅交易以抬高咗嘅價格執行，同樣嘅USDC只能換到更少嘅ETH。
4. Back-running： 機械人喺攻擊者交易完成後即時賣出ETH，賺取差價。

今次攻擊者用嘅係Uniswap V4，但冇set滑價上限，結果機械人可以隨意控制交易價格 。

呢件事反映咗DeFi安全嘅乜嘢問題？

• MEV機械人係無差別嘅機會主義者。 佢哋唔會分好人定壞人，只要係公開mempool入面嘅交易，滑價設定又弱，就會成為目標 。
• 滑價保護係冇得傾嘅。 攻擊者set swap時冇設死滑價，結果機械人可以喺多個區塊之間任意操控價格。一個細嘅滑價上限已經可以避免大部分損失 。
• DeFi嘅透明性有兩面。 公開mempool令DEX交易可以無需許可，但同時都令大額、設定得差嘅交易好易俾機械人front-run同sandwich 。
• 釣魚仍然係最常見嘅攻擊途徑。 初始偷竊係靠一個被入侵嘅錢包，而唔係協議漏洞。用戶層面嘅安全——授權、簽名同錢包衞生——仍然係最大弱點 。

用戶要注意嘅嘢

1. 永遠set一個緊啲嘅滑價容許度 ——通常喺流動性高嘅交易對上，0.5%–1%就夠。千祈唔好用「自動」或者無限滑價 。
2. 用有MEV保護嘅RPC端點或者私人mempool服務 （例如Flashbots Protect、BloxRoute），避免交易落入公開mempool 。
3. 定期撤銷冇用嘅代幣授權。今次受害人正係俾咗一個釣魚簽名，令攻擊者可以直接拎走USDC 。
4. 大額swap先用細額試水 ——特別係啱啱從可疑來源拎到資金之後。
5. 明白區塊鏈透明性可以反噬 ——有私鑰唔代表交易執行安全，如果交易係公開嘅而且參數設定得差，一樣會出事 。

呢單案係一個好大嘅提醒：喺DeFi入面，技術細心係每一步都要嘅——就算係罪犯，如果忽略基本嘅交易衞生，都會輸俾更加自動化嘅對手。