แฮกเกอร์รายหนึ่งได้ดูดเงินไปประมาณ 7.5 ล้าน USD จาก JaredFromSubway MEV bot ซึ่งเป็นระบบ sandwich-attack ที่ทำงานบ่อยที่สุดบน Ethereum หลังจากหลอกให้บอทอนุมัติการใช้จ่าย token ที่ไม่ควรจะให้สิทธิ์
บริษัทด้านความปลอดภัย Blockaid ซึ่งได้แจ้งเตือนเหตุการณ์นี้ ระบุว่าบอทไม่ได้ถูกโจมตีด้วยบั๊ก smart-contract, การโจมตีแบบ phishing หรือการรั่วไหลของ private-key แต่แฮกเกอร์ใช้ตรรกะที่บอทใช้ในการหากำไรหันกลับมาเล่นงานตัวเอง
บอท MEV ถูกหลอกได้อย่างไร
JaredFromSubway MEV bot ใช้กลยุทธ์อัตโนมัติในการสแกน mempool ของ Ethereum เพื่อหาการเทรดที่ทำกำไร ซึ่งเรียกกันว่า maximal extractable value
บอทจะทำการ front-run และ back-run การเทรดอื่น ๆ เพื่อจับส่วนต่างราคา โดยกลยุทธ์นี้เรียกว่า sandwich attack
มันกลายเป็นที่รู้จักในเดือนเมษายน 2023 โดยในวันเดียวกันนั้นมันเผาผลาญค่า gas ไปมากกว่า 1 ล้าน USD หรือเกือบ 8% ของ ค่าใช้จ่าย gas ของ Ethereum ทั้งหมด
แฮกเกอร์ได้ใช้เวลาหลายสัปดาห์ในการปล่อยสัญญา token ปลอมถึง 66 ตัว โดย token เหล่านี้เลียนแบบ Wrapped Ether (WETH), USD Coin (USDC) และ Tether (USDT)
บอทมองว่าสัญญาเหล่านี้คล้ายกับเส้นทางการเทรดที่โปรแกรมไว้ให้ไล่ตาม และบอทก็ติดกับ โดยอนุมัติการใช้จ่ายไปยัง contract ผู้ช่วยที่แฮกเกอร์ควบคุมไว้ หนึ่งในการอนุมัตินั้นได้ส่งมอบ WETH กว่า 92 เหรียญเลยทีเดียว
ในที่สุด contract สุดท้ายก็ใช้สิทธิ์ที่เปิดไว้เหล่านั้นในการ กวาดเงินจริงออกจากบอท
การวางกับดัก Reverse-MEV
กับดักนี้เปลี่ยนความเร็วและความดุดันของบอทให้กลายเป็นจุดอ่อน และการล่า MEV bot ก็ไม่ได้เป็นเรื่องใหม่ โดยในปี 2023 ผู้ตรวจสอบเครือข่าย (validator) ที่หลงผิดได้ดูดเงินไปประมาณ 25 ล้าน USD จาก MEV sandwich bots
contract ที่แฮกเกอร์ควบคุมได้หลอกระบบ MEV อัตโนมัติให้อนุมัติการใช้จ่าย token ซึ่งถูกนำไปใช้ในการดูดเงินในภายหลัง Blockaid ระบุไว้
การโจมตีแบบ sandwich เช่นนี้ถูกวิจารณ์มาโดยตลอดว่าเป็นเหมือน ภาษีที่มองไม่เห็นต่อเทรดเดอร์ทั่วไป
ผู้ควบคุมบอทระบุว่าความสูญเสียน่าจะอยู่ที่ประมาณ 15 ล้าน USD และยังได้เสนอโบนัส 1 ล้าน USD เพื่อแลกกับการคืนเงินทุนเหล่านั้น ขณะที่ Blockaid และ PeckShield ประเมินว่าการถูกดูดเงินบนเครือข่ายมีมูลค่าประมาณ 7.5 ล้าน USD ในรูปแบบ WETH, USDC และ USDT
ตอนนี้ การที่ผู้ควบคุมจะกู้คืนอะไรได้บ้างนั้นอาจต้องขึ้นอยู่กับว่าผู้โจมตียอมรับข้อเสนอนี้หรือไม่
