Il n'a fallu qu'une heure au bot MEV pour perdre 1.4 million de dollars dans Brazen Heist

La victime de "We Got Careless" dit à Hacker dans le but de récupérer l'ETH perdu

Un opérateur de bot MEV a réalisé 800 ETH en une seule transaction le 28 septembre, avant de perdre 1,100 XNUMX ETH à peine une heure plus tard, selon Bert Miller, le chef de produit de Flashbots, une équipe de recherche MEV.

Miller marqué les transactions sur Twitter. Il a déclaré que l'adresse en question, qui commence par le code alphanumérique "0xbaDc0dE", a exécuté 220,000 XNUMX transactions au cours des derniers mois. L'activité était très révélatrice du comportement du bot MEV.

Protégez Vous

"Imaginez faire 800 ETH en un seul arb … et une heure plus tard, perdre 1100 ETH au profit d'un pirate informatique", a tweeté Miller. "Restez en sécurité et protégez vos fonctions d'exécution."

MEV, ou Valeur extractible maximale, est une technique utilisée par les validateurs et les opérateurs de robots pour capturer la valeur excédentaire du glissement ou de la propagation permise par les transactions en chaîne sur des chaînes de blocs décentralisées. Les chercheurs MEV travaillent avec des validateurs pour réorganiser ou lancer des transactions afin de profiter des frais maximaux ou du glissement autorisé par les utilisateurs d'Ethereum.

Le `` dumping massif '' des mineurs d'Ethereum punit l'ETH

Le passage à la preuve de participation perturbe le marché des ETH, mais peut-être seulement à court terme

Alors que le MEV est souvent considéré comme englobant des techniques sans risque, la débâcle de 0xbaDc0dE semble montrer que ce n'est pas le cas. 

Miller a déclaré que l'adresse a profité d'un utilisateur qui a tenté de vendre pour 1.8 million de dollars de cUSDC - des jetons permettant aux détenteurs de retirer l'USDC déposé dans Compound, la dApp du marché monétaire - sur Uniswap v2, malgré le fait que l'appariement soit très illiquide. 

Intercaler la transaction

Le vendeur malchanceux n'a reçu que 500 $ de la transaction. Cependant, 0xbaDc0dE a empoché 800 ETH (1.02 M$) en prenant en sandwich la transaction avec un commerce d'arbitrage élaboré impliquant de nombreuses applications DeFi différentes.

Mais à peine une heure plus tard, tous les ETH de 0xbaDc0dE ont apparemment été volés, un pirate informatique ayant récupéré 1,101 1.4 ETH (0 million de dollars) du portefeuille. Miller a noté que 0xbaDcXNUMXdE n'avait pas réussi à protéger la fonction qu'ils utilisaient pour exécuter des prêts flash sur l'échange dYdX.

Exécution arbitraire

"Lorsque vous obtenez un prêt flash, le protocole auquel vous empruntez appellera une fonction standardisée sur votre contrat", a déclaré Miller. «Le code de 0xbaDc0dE permettait malheureusement une exécution arbitraire. L'attaquant l'a utilisé pour que 0xbaDc0dE approuve tous ses WETH pour les dépenses de son contrat. »

PeckShield, la société de sécurité blockchain, a également repéré la transaction. Ils ont publié des messages en chaîne envoyés entre 0xbaDc0dE et leur attaquant.

0xbaDc0dE a exigé que les fonds soient restitués d'ici la fin du 28 septembre, proposant de donner à l'attaquant 20% des fonds s'il se conformait. 

"Félicitations pour cela, nous sommes devenus négligents et vous avez certainement réussi à nous faire du bien", 0xbaDc0dE a affirmé Valérie Plante.. "Si les fonds ne sont pas restitués d'ici là, nous n'aurons d'autre choix que de poursuivre en conséquence avec tout ce qui est en notre pouvoir auprès des autorités compétentes pour récupérer nos fonds", ont-ils menacé.

Mais le hacker semble imperturbable, répondre, "Qu'en est-il des gens normaux à qui vous avez fait du MEV et qui les ont littéralement baisés ? Voulez-vous les rendre ? 

Ils ont sarcastiquement proposé de restituer 1% des fonds volés si 0xbaDc0dE restituait tous les bénéfices générés par MEV aux utilisateurs Ethereum sans méfiance d'ici la fin de la même journée.

Chercheur MEV

Flashbots développe un logiciel conçu pour réduire les obstacles à devenir un chercheur MEV et pour partager les bénéfices glanés grâce à son extraction à la communauté élargie des validateurs d'Ethereum. 

L'équipe a été critiquée le mois dernier lorsqu'elle a confirmé qu'elle serait se plier avec des sanctions du département du Trésor américain visant le service de mixage crypto, Tornado Cash. Flashbots a répondu en open source une partie du code de son logiciel MEV-Boost, qui permet l'extraction de MEV à partir de transactions Proof of Stake Ethereum.

Le 27 septembre, Toni Wahrstatter, un chercheur d'Ethereum, rapporté qu'aucune transaction interagissant avec les contrats Tornado Cash n'a été incluse dans les blocs produits à l'aide du logiciel MEV-Boost à ce jour.