Уязвимость привела к потере более $ 25 млн группой блокчейн-ботов, работающих для получения дохода с помощью процесса, называемого максимальной извлекаемой стоимостью (MEV).
Боты MEV работают как высокочастотные трейдеры, которые сосредоточены на использовании скорости и технических особенностей работы блокчейнов для использования арбитражных возможностей. Однако для этого им часто приходится подвергать риску большие суммы денег (чтобы манипулировать ценами до целевого уровня).
3 апреля злоумышленник скомпрометировал некоторых из этих ботов MEV, подменив их обычные транзакции вредоносными, что привело к краже средств.
Трейдер децентрализованными финансами Wintermute Джозеф Плаза объяснил, что, вероятно, хакер установил транзакции-приманки, чтобы заманить ботов MEV. Затем злоумышленник заменил первоначальные транзакции-приманки новыми, вредоносными, что позволило украсть средства. Чтобы подготовиться к атаке, преступник внёс 32 ETH, чтобы стать валидатором за 18 дней до инцидента.
Разработчик смарт-контрактов «3155.eth» сообщил об инциденте в Твиттере первым, а компания PeckShield в дальнейшем отследила украденные активы и восемь задействованных адресов.
Возможно, злоумышленник дождался своей очереди предложить блок в качестве валидатора, что совпало с атакой. Впоследствии он реорганизовал содержимое блока и создал новый блок, содержащий злонамеренные транзакции.
Flashbots, разработчик основного программного обеспечения MEV, или MEV-Boost, используемого в Ethereum, выпустил патч, чтобы предотвратить подобные инциденты в будущем.
Команда представила функцию, которая инструктирует ретрансляторов, доверенного посредника между строителями блоков и валидаторами, публиковать подписанный блок перед передачей его содержимого предлагающему. Этот шаг снижает вероятность того, что злоумышленник в MEV-Boost предложит блок, который отличается от того, что он получил от ретранслятора.
(3 оценок, среднее: 4,33 из 5)
Загрузка...
Редактор. Переводчик. Криптоинвестор.
