Ci è voluta solo un'ora per MEV Bot per perdere $ 1.4 milioni in Brazen Heist

La vittima di "We Got Careless" dice all'hacker in un'offerta per recuperare l'ETH perso

Un operatore di bot MEV ha realizzato 800 ETH in una singola transazione il 28 settembre, prima di perdere ben 1,100 ETH solo un'ora dopo, secondo Bert Miller, responsabile del prodotto di Flashbots, un team di ricerca MEV.

mugnaio contrassegnato le transazioni su Twitter. Ha detto che l'indirizzo in questione, che inizia con il codice alfanumerico '0xbaDc0dE', ha eseguito 220,000 transazioni negli ultimi mesi. L'attività era altamente indicativa del comportamento del bot MEV.

Restare a casa

"Immagina di guadagnare 800 ETH in un singolo arbitraggio... e un'ora dopo di perdere 1100 ETH a causa di un hacker", ha twittato Miller. "Stai al sicuro e proteggi le tue funzioni di esecuzione."

MEV, o Valore massimo estraibile, è una tecnica utilizzata dai validatori e dagli operatori di bot per catturare il valore in eccesso dallo slippage o dallo spread abilitato dalle transazioni on-chain su blockchain decentralizzate. I ricercatori MEV collaborano con i validatori per riordinare o eseguire transazioni in anticipo per sfruttare le commissioni massime o lo slittamento consentito dagli utenti di Ethereum.

"Il massiccio dumping" di Ethereum Miners punisce l'ETH

Il passaggio alla Proof of Stake incide sul mercato ETH, ma forse solo a breve termine

Mentre MEV è spesso visto come un insieme di tecniche prive di rischi, la debacle di 0xbaDc0dE sembra dimostrare che non lo è. 

Miller ha affermato che l'indirizzo ha approfittato di un utente che ha cercato di vendere cUSDC per un valore di 1.8 milioni di dollari - token che consentono ai titolari di prelevare USDC depositati in Compound, la dApp del mercato monetario - su Uniswap v2, nonostante l'accoppiamento fosse altamente illiquido. 

Sandwiching della transazione

Lo sfortunato venditore ha ricevuto solo $ 500 dalla transazione. Tuttavia, 0xbaDc0dE ha intascato 800 ETH ($ 1.02 milioni) integrando la transazione con un elaborato scambio di arbitraggio che coinvolge molte diverse dApp DeFi.

Ma solo un'ora dopo, tutto l'ETH di 0xbaDc0dE è stato apparentemente rubato, con un hacker che ha raccolto 1,101 ETH ($ 1.4 milioni) dal portafoglio. Miller ha notato che 0xbaDc0dE non era riuscito a proteggere la funzione utilizzata per eseguire prestiti flash sullo scambio dYdX.

Esecuzione arbitraria

"Quando ottieni un prestito flash, il protocollo da cui stai prendendo in prestito chiamerà una funzione standardizzata sul tuo contratto", ha detto Miller. “Il codice di 0xbaDc0dE purtroppo ha permesso l'esecuzione arbitraria. L'attaccante ha usato questo per ottenere 0xbaDc0dE per approvare tutti i loro WETH per spendere [ing] sul loro contratto.

Anche PeckShield, la società di sicurezza blockchain, ha individuato la transazione. Hanno pubblicato messaggi on-chain inviati tra 0xbaDc0dE e il loro aggressore.

0xbaDc0dE ha chiesto che i fondi fossero restituiti entro la fine del 28 settembre, offrendosi di dare all'aggressore il 20% dei fondi in caso di conformità. 

"Congratulazioni per questo, siamo stati negligenti e sei sicuramente riuscito a farci diventare bravi", 0xbaDc0dE disse. "Se i fondi non dovessero essere restituiti per allora, non avremo altra scelta che perseguire di conseguenza con tutto ciò che è in nostro potere con le autorità competenti per recuperare i nostri fondi", hanno minacciato.

Ma l'hacker sembra imperturbabile, risponde, “che mi dici delle persone normali che hai sottoposto a MEV e le hai letteralmente fottute? Li restituirai? 

Si sono offerti sarcasticamente di restituire l'1% dei fondi rubati se 0xbaDc0dE avesse restituito tutti i profitti generati tramite MEV agli ignari utenti di Ethereum entro la fine dello stesso giorno.

Ricercatore MEV

Flashbots sviluppa software progettato per ridurre le barriere per diventare un ricercatore MEV e per condividere i profitti raccolti attraverso la sua estrazione alla più ampia comunità di validatori di Ethereum. 

La squadra è stata presa di mira il mese scorso quando ha confermato che lo sarebbe stato conforme con le sanzioni del Dipartimento del Tesoro degli Stati Uniti contro il servizio di mixaggio di criptovalute, Tornado Cash. Flashbots ha risposto rendendo disponibile parte del codice per il suo software MEV-Boost, che consente l'estrazione di MEV dalle transazioni Proof of Stake Ethereum.

Il 27 settembre, Toni Wahrstatter, un ricercatore di Ethereum, segnalati che zero transazioni che interagiscono con i contratti Tornado Cash sono state incluse nei blocchi prodotti utilizzando il software MEV-Boost fino ad oggi.