Бот MEV заработал 1 миллион долларов, но через час потерял все из-за хакера

Арбитражному торговому боту Ethereum удалось сорвать джекпот и потерять его в один и тот же день по иронии судьбы в децентрализованных финансах (DeFi).

В ветке Twitter Роберт Миллер, работающий в исследовательской фирме Flashbots, поделился тем, как бот с максимальной извлекаемой стоимостью (MEV) с префиксом 0xbadc0de смог заработать 800 эфиров (ETH), около 1 миллиона долларов, посредством арбитражных сделок.

По словам Миллера, бот воспользовался огромной возможностью арбитража, которая появилась, когда трейдер попытался продать 1,8 миллиона долларов в cUSDC через децентрализованную биржу (DEX) Uniswap v2 и получил взамен активы на сумму всего 500 долларов. Бот уловил этот шанс и сразу же приступил к действиям и получил огромную прибыль.

Однако всего через час хакер воспользовался уязвимостью в «плохом коде» 0xbadc0de и обманом заставил его авторизовать транзакцию, которая истощила его баланс в размере 1101 ETH, что на момент написания статьи составляло около 1,41 миллиона долларов.

#MEV Очень прибыльный бот MEV с внутренним именем 0xbad был каким-то образом обманут/взломан, что привело к потере 1101 ETH (~ 1,45 млн долларов США) в следующем сообщении: https://t.co/FxXSY8AyhX— PeckShield Inc. (@peckshield), сентябрь.27, 2022

По данным компании PeckShield, занимающейся безопасностью блокчейна, ошибка может быть прослежена до процедуры обратного вызова бота, и хакер использовал ее для подтверждения произвольного адреса для расходов.

Связанный: генеральный директор Pantera настроен оптимистично в отношении DeFi, Web3 и NFT, поскольку Token2049 начинается

18 сентября была использована уязвимость в Profanity, генераторе тщеславных адресов Ethereum, в результате чего из различных кошельков было выведено 3,3 миллиона долларов. Расследования, проведенные агрегатором децентрализованной биржи (DEX) 1inch Network, выявили двусмысленность в отношении создания кошельков. DEX предупредил пользователей, что их кошельки находятся в опасности, и призвал их перевести свои активы.

Более чем через неделю был использован еще один адрес кошелька тщеславия, из-за чего было украдено ETH на сумму почти 1 миллион долларов. После кражи средств хакеры сразу же отправили их на скандальный миксер криптовалют Tornado Cash.