एक हमलावर ने JaredFromSubway MEV बोट से लगभग $7.5 मिलियन निकाल लिए, जो Ethereum की सबसे एक्टिव सैंडविच-अटैक सिस्टम्स में से एक है। हमलावर ने बोट को ऐसे टोकन खर्च करने की अनुमति देने के लिए ट्रिक किया, जिसकी उसे कभी मंजूरी नहीं देनी चाहिए थी।
सिक्योरिटी फर्म Blockaid, जिसने इस घटना को चिन्हित किया, ने बताया कि बोट को किसी स्मार्ट-कॉन्ट्रैक्ट बग, फिशिंग अटैक या प्राइवेट-की लीक से नुकसान नहीं हुआ। इसके बजाय, हमलावर ने बोट की ही प्रॉफिट-सीकिंग लॉजिक को उसके खिलाफ इस्तेमाल किया।
MEV बोट को कैसे ट्रिक किया गया?
JaredFromSubway MEV बोट एक ऑटोमेटेड स्ट्रेटेजी पर काम करती है, जो Ethereum के मेमपूल को प्रॉफिटेबल ट्रेड्स के लिए स्कैन करती है। इस प्रक्रिया को मैक्सिमल एक्सट्रैक्टेबल वैल्यू (MEV) कहा जाता है।
यह बोट बाकी ट्रेड्स को फ्रंट-रन और बैक-रन करती है ताकि प्राइस डिफरेंस से मुनाफा कमाया जा सके। इस टैक्टिक को सैंडविच अटैक कहा जाता है।
इस बोट ने अप्रैल 2023 में काफी चर्चा बटोरी थी। एक ही दिन में, इसने $1 मिलियन से ज्यादा गैस जला दी थी, जो Ethereum गैस खर्च का लगभग 8% था।
हमलावर ने हफ्तों तक 66 फर्जी टोकन कॉन्ट्रैक्ट तैनात किए। ये नकली कॉन्ट्रैक्ट्स Wrapped Ether (WETH), USD Coin (USDC), और Tether (USDT) की नकल थे।
बोट के लिए ये कॉन्ट्रैक्ट्स वैसे ही रास्ते लगे, जैसे वह सामान्य रूप से फॉलो करती है। बोट ने ट्रैप में फंसकर, हमलावर के कंट्रोल वाले हेल्पर कॉन्ट्रैक्ट्स को टोकन खर्च करने की परमिशन दे दी। एक मंजूरी में ही बोट से 92 WETH से ज्यादा दे दिए गए।
फाइनल कॉन्ट्रैक्ट ने इन खुले अलाउंस का उपयोग करके बोट से असली फंड्स निकाल लिए।
रिवर्स-MEV ट्रैप
इस ट्रैप में बोट की स्पीड और अक्रामकता उसकी कमजोरी बन गई। MEV बोट्स को निशाना बनाना नया नहीं है। 2023 में, एक rogue validator ने MEV सैंडविच बोट्स से करीब $25 मिलियन निकाल लिए थे।
“हमलावर के कंट्रोल वाले कॉन्ट्रैक्ट्स ने एक ऑटोमेटेड MEV execution सिस्टम को टोकन approvals देने के लिए ट्रिक किया, जिसे बाद में फंड्स निकालने में इस्तेमाल किया गया,” Blockaid ने बताया।
ऐसी सैंडविच अटैक को अक्सर अदृश्य टैक्स कहा गया है, जो आम ट्रेडर्स पर बोझ बन जाता है।
बोट के ऑपरेटर ने नुकसान को करीब $15 मिलियन बताया है। उन्होंने फंड वापसी के लिए $1 मिलियन का इनाम भी रखा है। Blockaid और PeckShield ने ऑन-चेन drain की वैल्यू लगभग $7.5 मिलियन बताई है, जिसमें WETH, USDC, और USDT शामिल हैं।
अब, ऑपरेटर को कुछ भी वापस पाने की उम्मीद हमलावर के उस ऑफर को स्वीकार करने पर निर्भर करती है।
