MEV-бот зарабатывает $1M, но через час теряет все из-за хакера

Бот для арбитражной торговли Ethereum сумел сорвать джекпот и потерять все в один и тот же день — ироничный поворот событий в сфере децентрализованных финансов (DeFi). 

В своем Твиттере Роберт Миллер, работающий в исследовательской компании Flashbots, рассказал о том, как бот с префиксом 0xbadc0de, имеющий максимальную извлекаемую стоимость (MEV), смог заработать 800 Эфиров (ETH), что составляет около 1 миллиона долларов, благодаря арбитражным сделкам.

По словам Миллера, бот воспользовался огромной арбитражной возможностью, когда трейдер попытался продать cUSDC на сумму $1,8 млн через децентрализованную биржу (DEX) Uniswap v2 и получил взамен активы на сумму всего $500. Бот обнаружил этот шанс, немедленно приступил к действиям и получил огромную прибыль.

Однако всего час спустя хакер воспользовался уязвимостью в «плохом коде» 0xbadc0de и обманом санкционировал транзакцию, которая опустошила его баланс на 1 101 ETH, что на момент написания статьи составляло около $1,41 млн.

#MEV Очень прибыльный бот MEV, внутренне названный 0xbad, был каким-то образом обманут/взломан с потерей 1,101 ETH (~$1.45M) в следующем tx:

— PeckShield Inc. (@peckshield) 27 сентября 2022 г.

По данным фирмы PeckShield, специализирующейся на безопасности блокчейна, ошибка прослеживается в процедуре обратного вызова бота, которой воспользовался хакер, чтобы одобрить произвольный адрес для расходования средств. 

18 сентября была использована уязвимость в Profanity, генераторе тщеславных адресов Ethereum, в результате чего из различных кошельков было выведено 3,3 миллиона долларов. Расследование, проведенное агрегатором децентрализованных бирж (DEX) 1inch Network, показало, что при создании кошельков существовала однозначность. DEX предупредила пользователей, что их кошельки находятся под угрозой, и призвала их перевести свои активы.

Более недели спустя другой адрес тщеславного кошелька был взломан и с него слили ETH на сумму почти 1 миллион долларов. Похитив средства, хакеры сразу же отправили их в спорный криптомикшер Tornado Cash.