Es dauerte nur eine Stunde, bis der MEV-Bot bei Brazen Heist 1.4 Millionen Dollar verlor

„Wir wurden sorglos“-Opfer sagt Hacker im Angebot, verlorene ETH zu bergen

Laut Bert Miller, dem Produktleiter von Flashbots, einem MEV-Forschungsteam, verdiente ein MEV-Bot-Betreiber am 800. September 28 ETH in einer einzigen Transaktion, bevor er nur eine Stunde später satte 1,100 ETH verlor.

Müller markiert die Transaktionen auf Twitter. Er sagte, die fragliche Adresse, die mit dem alphanumerischen Code „0xbaDc0dE“ beginnt, habe in den letzten Monaten 220,000 Transaktionen ausgeführt. Die Aktivität deutete stark auf das Verhalten des MEV-Bots hin.

Bleib sicher

„Stellen Sie sich vor, Sie verdienen 800 ETH in einem einzigen Arb … und verlieren eine Stunde später 1100 ETH an einen Hacker“, twitterte Miller. „Bleiben Sie sicher und schützen Sie Ihre Ausführungsfunktionen.“

MEV, oder Maximal extrahierbarer Wertist eine Technik, die von Validatoren und Bot-Betreibern verwendet wird, um überschüssigen Wert aus dem Slippage oder Spread zu erfassen, der durch On-Chain-Transaktionen auf dezentralen Blockchains ermöglicht wird. MEV-Sucher arbeiten mit Validatoren zusammen, um Transaktionen neu zu ordnen oder voranzutreiben, um die von Ethereum-Benutzern zugelassenen maximalen Gebühren oder Slippage zu nutzen.

„Massives Dumping“ durch Ethereum-Miner bestraft die ETH

Die Umstellung auf Proof of Stake erschüttert den ETH-Markt, aber vielleicht nur kurzfristig

Während MEV oft als risikofreie Technik angesehen wird, scheint das Debakel von 0xbaDc0dE zu zeigen, dass dies nicht der Fall ist. 

Miller sagte, die Adresse habe einen Benutzer ausgenutzt, der versucht habe, cUSDC im Wert von 1.8 Millionen US-Dollar zu verkaufen – Token, die es den Inhabern ermöglichen, bei Compound, der Geldmarkt-dApp, eingezahlte USDC abzuheben – auf Uniswap v2, obwohl die Paarung äußerst illiquide sei. 

Einklemmen der Transaktion

Der unglückliche Verkäufer erhielt aus der Transaktion nur 500 US-Dollar. Allerdings erbeutete 0xbaDc0dE 800 ETH (1.02 Millionen US-Dollar), indem es die Transaktion mit einem aufwändigen Arbitrage-Handel mit vielen verschiedenen DeFi-dApps kombinierte.

Doch nur eine Stunde später wurde offenbar die gesamte ETH von 0xbaDc0dE gestohlen, wobei ein Hacker 1,101 ETH (1.4 Millionen US-Dollar) aus der Wallet erbeutete. Miller stellte fest, dass 0xbaDc0dE es versäumt hatte, die Funktion zu schützen, die sie zur Ausführung von Flashloans an der dYdX-Börse verwendeten.

Willkürliche Ausführung

„Wenn Sie einen Schnellkredit erhalten, ruft das Protokoll, von dem Sie leihen, eine standardisierte Funktion in Ihrem Vertrag auf“, sagte Miller. „Der Code von 0xbaDc0dE erlaubte leider eine willkürliche Ausführung. Der Angreifer nutzte dies, um 0xbaDc0dE dazu zu bringen, sein gesamtes WETH für die Ausgaben für seinen Vertrag zu genehmigen.“

PeckShield, das Blockchain-Sicherheitsunternehmen, hat die Transaktion ebenfalls entdeckt. Sie veröffentlichten On-Chain-Nachrichten, die zwischen 0xbaDc0dE und ihrem Angreifer gesendet wurden.

0xbaDc0dE forderte die Rückgabe der Gelder bis zum Ende des 28. Septembers und bot an, dem Angreifer 20 % der Gelder zu geben, wenn er dem nachkäme. 

„Herzlichen Glückwunsch dazu, wir haben nachlässig gehandelt und Sie haben es auf jeden Fall geschafft, uns gut hinzukriegen“, 0xbaDc0dE sagte. „Sollten die Gelder bis dahin nicht zurückgezahlt werden, bleibt uns keine andere Wahl, als mit allen in unserer Macht stehenden Mitteln bei den zuständigen Behörden vorzugehen, um unsere Gelder zurückzufordern“, drohten sie.

Doch der Hacker scheint unbeeindruckt, reagiert, „Was ist mit normalen Menschen, die du mit MEV behandelt hast und die du im wahrsten Sinne des Wortes gefickt hast?“ Wirst du sie zurückgeben?“ 

Sie boten sarkastisch an, 1 % der gestohlenen Gelder zurückzugeben, sollte 0xbaDc0dE bis zum Ende desselben Tages alle durch MEV erzielten Gewinne an ahnungslose Ethereum-Benutzer zurückgeben.

MEV-Sucher

Flashbots entwickelt Software, die darauf ausgelegt ist, die Hürden auf dem Weg zum MEV-Sucher zu verringern und die durch die Extraktion erzielten Gewinne an die breitere Validator-Community von Ethereum weiterzugeben. 

Das Team geriet letzten Monat unter Beschuss, als es dies bestätigte einhalten mit Sanktionen des US-Finanzministeriums gegen den Krypto-Mischdienst Tornado Cash. Flashbots reagierte, indem es einen Teil des Codes für seine MEV-Boost-Software offenlegte, die die Extraktion von MEV aus Proof-of-Stake-Ethereum-Transaktionen ermöglicht.

Am 27. September sagte Toni Wahrstatter, ein Ethereum-Forscher, berichtet dass in Blöcken, die mit der MEV-Boost-Software erstellt wurden, bisher keine Transaktionen enthalten waren, die mit Tornado-Cash-Verträgen interagierten.