Een gids voor MEV: kritieke problemen en beste beveiligingspraktijken

Leestijd: 6 minuten

Winst maken is het uiteindelijke doel achter elk werk dat een individu uitvoert. Wat dat betreft, betekent MEV, wat staat voor Maximale Extraheerbare Waarde, de winst die een validator maakt van een slimme contract-enabled blockchain voor het opnemen, uitsluiten of opnieuw ordenen van transacties in de blokken. 

Kortom, MEV vertegenwoordigt de winstmaatstaf die een mijnwerker/validator zou kunnen extraheren voor het beoordelen van transacties op het blockchain-netwerk. Meer in detail over MEV - de goede en slechte, inzichten in het beschermen van de fondsen tegen MEV-trucs zullen de hoogtepunten van deze blog zijn. 

Wat is MEV? Hoe werkt het?

In proof-of-work-consensus waren de mijnwerkers verantwoordelijk voor het toevoegen van transacties, voorheen Miner-extraheerbare waarde genoemd. Maar met De verschuiving van Ethereum voor Proof-of-stake zijn validators degenen die de transacties beoordelen die zijn gewijzigd in maximale extraheerbare waarde (MEV). 

Over het algemeen betaalt de gebruiker een vergoeding in de blockchain voor het verplaatsen van transacties in een blok. Dat vergoedingsbedrag is een extra vergoeding die de gebruiker liever betaalt voor mijnwerkers om hun transactie op prioriteit te kiezen. 

Dit MEV-bedrag, dat niets anders is dan de door de gebruiker betaalde gasvergoeding, wordt door de validators gefilterd in de volgorde van het hoogste bedrag om het voor hen winstgevender te maken. Bots worden gebruikt om het proces van het indienen van winstgevende transacties met hoge gaskosten te automatiseren die validators stimuleren. 

Ondanks deze praktijk om transacties te prioriteren op basis van de betaalde gasvergoeding, introduceert MEV ook verschillende andere effecten op de blockchain. We zullen zien hoe MEV's worden gemanipuleerd om voordelen te behalen in de komende passage.

Hoe worden MEV's tactisch gebruikt?

Validators en hackers die kansen proberen te vinden door MEV uit te buiten, brengen gebruikers in economische moeilijkheden. Maar wat zijn de manieren waarop deze MEV's worden gebruikt in het voordeel van de hacker?

Laten we nu in de details duiken!

Vooraan lopend: Alle transacties die moeten worden gevalideerd, bevinden zich in de mempool, waarin validators of algemene koplopers (bots) ze doorlopen en meegaan met de winstgevende transacties. Omdat de code open is op de blockchain, detecteren bots de transactie van de gebruiker met hoge gaskosten, repliceren ze en helpen validators de winstgevende te vinden. 

Op deze manier worden de transactieorders gecommuniceerd zodat ze bij voorkeur aan blokken kunnen worden toegevoegd. 

Sandwich-aanval: Hier komt de kwaadaardige vorm van front-running waarbij de transactie van de gebruiker wordt bestudeerd om de prijzen van cryptocurrencies te manipuleren en handel uit te voeren in het voordeel van de hacker ten koste van gebruikers. 

Laten we, om het te vereenvoudigen, uitgaan van een prijsverschil van een specifieke cryptomunt tussen de DEX's, Uniswap en Sushiswap. De gebruiker vindt dit en probeert te profiteren door het activum van Uniswap te kopen voor een lagere prijs en het op Sushiswap te verkopen voor een hogere prijs. 

Op deze manier wordt de liquiditeit van cryptocurrencies gehandhaafd op verschillende gedecentraliseerde beurzen. Maar hier zit het probleem. Zodra de gebruiker de transactie voor de koop- en verkooporders start, blijven ze in de mempool om deze te valideren. 

Ondertussen identificeren de bots deze potentiële mogelijkheid om winst te maken en repliceren ze dezelfde transactie met een hoge gasvergoeding. 

Als gevolg hiervan wordt de kooporder van de bot vóór de gebruiker uitgevoerd, waardoor de tokenprijs wordt verhoogd. 

De kooporder van de gebruiker wordt daarna verwerkt en de gebruiker koopt het token tegen een hoge prijs. 

De bot initieert vervolgens de verkooporder van het activum tegen de verhoogde prijs, waarbij hij gezonde winsten behaalt met medeweten van de gebruiker, die uiteindelijk verstoken blijft van het geld dat ze wilden verdienen. 

De prijs die het MEV-slachtoffer betaalt als gevolg van manipulatie, is de hoeveelheid "Slippage" die ze hebben ingevoerd tijdens het maken van de transactie. 

PS Slippage is het prijsverschil tussen het tijdstip van handelsinitiatie en uitvoering. 

Een gebruiker kan de tokens tegen een lagere prijs kopen van één DEX en ze in één transactie verkopen op een dure DEX door tokens te ruilen. 

DEX-arbitrage: DEX-arbitrage is een van de meest bekende MEV-mogelijkheden waarbij gebruikers winst kunnen halen uit de prijsverschillen tussen twee DEX's. 

Liquidaties: Liquidaties van het leningsprotocol bieden MEV de mogelijkheid om inkomsten te genereren uit de liquidatievergoeding. DeFi-uitleenprotocollen stellen gebruikers in staat om sommige crypto's als onderpand te deponeren en in ruil daarvoor de crypto-tokens te lenen die ze nodig hebben.

Als de gebruiker het geleende geld niet kan terugbetalen, staat het protocol iedereen toe om het door de lener geplaatste onderpand te liquideren, waarvoor een forse liquidatievergoeding in rekening wordt gebracht. Deze liquidatievergoeding gaat naar de vereffenaar. 

Het wordt gebruikt door MEV-zoekers die leners opsporen wiens activa kunnen worden geliquideerd en winst maken met de liquidatievergoeding. 

Lichte kant en donkere kant van MEV

De positieve kant van MEV pleit voor zijn rol bij het soepel laten verlopen van het liquidatieproces over verschillende gedecentraliseerde beurzen, waardoor economische inefficiënties worden uitgesloten.

Bovendien bieden organisaties zoals Flashbots producten om front-running as a service aan te bieden om een ​​toestemmingloos en transparant MEV-ecosysteem te creëren. 

Aan de andere kant zorgen front-running en sandwich-aanvallen voor duurdere inkomstenderving en gemiste arbitragemogelijkheden voor de gebruikers. MEV-bots maken het moeilijk voor nieuwkomers om deel te nemen aan DeFi-protocollen, wat het beveiligingsaspect schaadt. 

Bovendien creëren gegeneraliseerde koploperbots die transacties met hoge gaskosten repliceren netwerkcongestie en verhogen ze de transactiekosten, wat gevolgen heeft voor de gebruiker.  

Het recente MEV Bot-hackscenario uittekenen 

Aanval plot: De MEV-bot OxBAD verdiende ~ $ 150 van $ 11 door een transactie vooraf uit te voeren. Kort na de token-swap om winst te maken, werd de slechte code van de MEV-bot uitgebuit in de volgende transactie https://t.co/FxXSY8AyhX, waardoor 1,101 ETH wordt afgetapt.

In de details van hack...

MEV bot deed een succesvolle poging om een ​​transactie van $1.8 miljoen van cUSDC naar enkele andere stablecoins te verhandelen. Dit resulteerde in ruil daarvoor slechts $ 500 aan activa van de gebruiker.

Kort daarna werd de MEV-bot genaamd Oxbad echter misleid door een uitbuiter om de verkregen winst te verliezen. 

Bij het bekijken van de hack maakte de uitbuiter gebruik van de callback-routine van de bot om willekeurige uitgaven goed te keuren, wat leidde tot een verlies van 1,101 ETH. 

Hoog op hacks

Andere exploits in de rij rond dezelfde tijd in Sept'22 waren 

• Een bug die werd gedetecteerd in de Profanity-tool, een Ethereum-vanity-adresgenerator, resulteerde in het leegmaken van $ 3.3 miljoen aan fondsen uit verschillende portemonnees.
• Een week later werd een vanity wallet-adres gehackt, met een geschat verlies van ongeveer $ 1 miljoen aan ETH.

Aankomen bij Beveiligingspraktijk

ijs om te volgen

Privé-mempools: Over het algemeen blijven transacties in de mempool waar ze publiekelijk worden uitgezonden zodat de miners/validators ze kunnen kiezen en toevoegen aan blokken. In privé-mempools zijn transacties alleen zichtbaar voor de pool en niet voor andere nodes, wat de kans op MEV-kosten verkleint.

Voorbeeld: Taichi-netwerk, BloXroute.

Flash-bots: Flashbots is een onderzoeksorganisatie die zich inzet om de conflicten van MEV aan te pakken door MEV-extractie te democratiseren via MEV-Geth. MEV-Geth biedt een veilingmechanisme voor privéblokruimte waarin bots en mijnwerkers kunnen communiceren over de voorkeur van de transactievolgorde. 

Dit verlaagt de totale gaskosten voor gebruikers en mislukte transacties die de blockchain doen opzwellen. 

Slippen: Gebruikers kunnen de minimale slipwaarde invoeren terwijl ze doorgaan met de transacties. Zodat als het prijsverschil te veel overschrijdt, de transactie automatisch wordt geannuleerd. Op deze manier kunnen de gebruikers grote verliezen worden bespaard.

QuillAudits in Web3-beveiliging

Vanaf het codeniveau zijn er voortdurende bedreigingen die de beveiliging van Web3 doen afbrokkelen. QuillAudits doet uitgebreid onderzoek naar de aanvalsvectoren op Web3 en debugt fouten die bescherming bieden aan projecten en gebruikersfondsen. 

Maak kennis met de gediversifieerde beveiligingsdiensten van QuillAudits en bescherm uzelf tegen het gedoe van Web3.

6 keer bekeken