บอท MEV ของ Ethereum JaredFromSubway การโจมตีการอนุมัติ ดูดเงินกว่า $17M
บ็อต MEV บน Ethereum ชื่อ JaredFromSubway ถูกโจมตีจากช่องโหว่การอนุมัติ (approval attack) จนถูกถอนออกไปมากกว่า 17 ล้านดอลลาร์ Blockaid ระบุว่าเหตุการณ์นี้ไม่ได้เกิดจากฟิชชิง กุญแจที่ถูกขโมย หรือตัวบั๊กโดยตรงในสมาร์ทคอนแทรกต์ แต่เป็นเพราะคอนแทรกต์ที่ผู้โจมตีควบคุมหลอกระบบตรวจจับโอกาส MEV อัตโนมัติของบ็อต จากนั้นเรียกการอนุมัติโทเค็นที่ทำให้ผู้โจมตีย้ายเงินได้โดยใช้สิทธิ์อนุญาต (allowances) ที่มีอยู่แล้ว
ทรัพย์สินที่ระบุว่าเป็นเป้าหมายรวมถึง WETH, USDC และ USDT การประมาณการเบื้องต้นอยู่ราว 7.5 ล้านดอลลาร์ แต่การติดตามแบบ on-chain ภายหลังทำให้ยอดรวมที่รายงานเพิ่มขึ้นมากกว่า 17 ล้านดอลลาร์ ความแตกต่างน่าจะมาจากการย้ายกระเป๋าเพิ่มเติมหรือการติดตามธุรกรรมที่ล่าช้า
สำหรับเทรดเดอร์ ข้อสรุปสำคัญคือบ็อต MEV บน Ethereum อาจถูกโจมตีผ่านกลไกการอนุมัติแทนที่จะโจมตีตัว Ethereum เอง นี่เน้นความสำคัญของการเฝ้าระวังการเปิดรับ MEV ตรวจสอบความเสี่ยงจาก allowances ของโทเค็น และพิจารณาปฏิสัมพันธ์กับ router/contract ช่วยเหลืออย่างละเอียด—โดยเฉพาะเมื่อเทรดคู่ WETH, USDC และ USDT บน DEXs การทบทวนกระเป๋า/คอนแทรกต์เพิ่มเติมอาจปรับตัวเลขการสูญเสียสุดท้ายได้
Neutral
นี่เป็นเหตุการณ์ความปลอดภัยเกี่ยวกับสัญญาอัจฉริยะ/ระบบอัตโนมัติที่มุ่งเป้าไปที่บอท MEV เฉพาะของ Ethereum เป็นหลัก ไม่ใช่ภัยคุกคามในระดับโปรโตคอลต่อ ETH แม้ว่าตัวเลขการสูญเสียที่สูงกว่า (มากกว่า 17 ล้านดอลลาร์) อาจทำให้เทรดเดอร์ระมัดระวังมากขึ้นในเรื่องการเปิดเผยต่อ MEV และการให้สิทธิ์โทเค็น แต่ไม่น่าจะเปลี่ยนความต้องการพื้นฐานของ Ethereum โดยตรงหรือทำให้ตลาดปรับราคาอย่างกว้างขวางด้วยตัวมันเอง ผลกระทบในระยะสั้นเกี่ยวข้องกับพฤติกรรมการเทรดมากกว่า (การติดตามสิทธิ์มากขึ้น การตรวจสอบสัญญามากขึ้น) มากกว่าทิศทางราคาของ ETH ในระยะยาว ความล้มเหลวซ้ำๆ ของการอัตโนมัติของบอทอาจเพิ่มความเสี่ยงที่รับรู้ในการดำเนินการบน DEXs ในระดับเล็กน้อย แต่ผลกระทบควรจำกัดเว้นแต่ระบบที่กว้างกว่าจะถูกบุกรุก.