Один із найвідоміших MEV-ботів мережі Ethereum, jaredfromSubway.eth, втратив, за оцінками, від $7,5 млн до $15 млн унаслідок контр-MEV-атаки типу honeypot («принада»).
Як влаштована атака
За даними BlockSec, на висновки якої спирається повідомлення, атакувальник використав проти бота підроблені токен-контракти й механіку дозволів (approvals). Бот видавав схвалення на розпорядження активами фальшивим контрактам, після чого кошти виводилися.
Ідеться про так званий контр-MEV: принада розрахована саме на автоматичних сендвіч-ботів, які сканують мемпул і без участі людини вклинюються в чужі угоди. Бот, що заробляє на випередженні транзакцій, сам став ціллю — механізм, який забезпечував йому прибуток, обернувся проти нього.
Чому це важливо
Інцидент підсвічує ризик, про який в індустрії говорять давно: гігієна дозволів в автоматизованих ончейн-системах. Токен-схвалення не мають терміну дії й не потребують повторного підтвердження, а торговий бот роздає їх масово та без ручної перевірки контракту на іншому боці угоди. Досить одного схвалення шкідливому контракту, щоб гаманець виявився спустошеним.
Точний розмір втрат не підтверджений: оцінки різняться більш ніж удвічі — від $7,5 млн до $15 млн.
Джерело: NewsBTC
