Jaredfromsubway.eth सैंडविच बॉट को $7.5M का नुकसान

एक हमलावर ने Ethereum के कुख्यात jaredfromsubway.eth MEV सैंडविच बॉट से $7.5 मिलियन से अधिक निकाल लिए, इसके स्वचालित व्यापार और स्वीकृति लॉजिक में हेरफेर करके, न कि पारंपरिक स्मार्ट-कॉन्ट्रैक्ट बग का फायदा उठाकर। सेटअप ने नकली टोकन और तरलता पूल पर निर्भर किया ताकि स्थायी अनुमतियों को प्रेरित किया जा सके, जिन्हें बाद में बॉट के अनुबंधों से WETH, USDC और USDT को स्थानांतरित करने के लिए उपयोग किया गया, जिसमें से कुछ आय Tornado Cash को भेजी गई।

मुख्य निष्कर्ष

• jaredfromsubway.eth से $7.5 मिलियन से अधिक निकाले गए।eth इसके स्वचालित व्यापार और स्वीकृति लॉजिक को इसके खिलाफ मोड़कर, न कि एक सामान्य अनुबंध की कमजोरी या मानक फ़िशिंग के माध्यम से।
• हमलावर ने बॉट को हमलावर-नियंत्रित सहायक अनुबंधों को अनुमोदित करने के लिए लुभाने के लिए WETH, USDC और USDT की नकल करने वाले दर्जनों नकली टोकन अनुबंधों और नकली तरलता पूल को तैनात करने में सप्ताह बिताए।
• हानि उन मार्गों पर निर्भर थी जहां टोकन अनुमतियाँखुला रहा, जिससे ऐसे अनुमति बनी रही जो बॉट के अनुबंधों से WETH, USDC और USDT के हस्तांतरण को सक्षम बनाती थी।
• चुराए गए कुछ फंड बाद में टॉर्नेडो कैश के माध्यम से भेजे गए, जिससे पहचान और पुनर्प्राप्ति में जटिलता आ गई।

एथेरियम का सबसे बड़ा सैंडविच बॉट अनुमोदन-तर्क जाल में $7.5 मिलियन खो देता है

Jaredfromsubway.eth, एथेरियम के सबसे स्पष्ट MEV सैंडविच बॉट्स में से एक, को एक हमलावर द्वारा बॉट के स्वचालित निर्णय लेने की प्रक्रिया में हेरफेर करने के बाद $7.5 मिलियन से अधिक का नुकसान हुआ। यह घटना पीड़ित के अनुबंधों में एक पारंपरिक स्मार्ट-कॉन्ट्रैक्ट बग पर निर्भर नहीं थी, और इसे एक सामान्य फ़िशिंग घटना के रूप में नहीं प्रस्तुत किया गया। विफलता का बिंदु बॉट की अपनी स्वचालन परत थी, जहाँ इसने अनुमतियाँ उत्पन्न कीं जो बाद में इसके खिलाफ उपयोगी हो गईं।

पीड़ित कुख्यात है क्योंकि सैंडविचिंग सूक्ष्म नहीं है। एक सैंडविच बॉट मेमपूल की निगरानी करता है, एक लंबित स्वैप से पहले खरीदता है, पीड़ित को खराब कीमत पर निष्पादित करने देता है, फिर तुरंत बाद में स्प्रेड को कैप्चर करने के लिए बेचता है। बड़े पैमाने पर, यह एक छिपी हुई निष्पादन लागत बन जाती है जिसे व्यापारी खराब फील्स के रूप में महसूस करते हैं और अक्सर, उच्च।गैसप्रतियोगिता।

यहाँ जो बात प्रमुख है वह उलटाव है। एक ऐसा सिस्टम जो अन्य व्यापारियों से निकासी को औद्योगिक बनाने के लिए बनाया गया था, उसे किसी ऐसे व्यक्ति द्वारा निकाला गया जिसने इसके संचालन की आदतों को समझा।

मल्टी-वीक सेटअप: फर्जी टोकन, फर्जी पूल, असली अनुमतियाँ

हमलावर की ताकत धैर्य थी। कई हफ्तों के दौरान, उन्होंने दर्जनों नकली टोकन अनुबंध और नकली तरलता पूल तैनात किए, जो वैध स्थलों के समान दिखने के लिए डिज़ाइन किए गए थे औरसंपत्तियाँ, जिसमें WETH, USDC, और USDT के अनुकरण शामिल हैं। लक्ष्य एक अनुबंध को तोड़ना नहीं था। यह “अवसर” बनाने के लिए था जिसे बॉट की पैटर्न-मान्यता लॉजिक व्यापार योग्य मार्गों के रूप में मानती।

जब चारा स्थापित हो गया, तो बॉट ने वही किया जो इसे बनाने के लिए बनाया गया था। इसने MEV अवसरों की पहचान की और सहायक अनुबंधों के लिए टोकन-खर्च अनुमतियाँ उत्पन्न कीं। उन सहायक अनुबंधों पर हमलावर का नियंत्रण था।

शुरुआत में, अनुमतियों का तुरंत उपयोग परीक्षणों के दौरान व्यापार मार्गों के हिस्से के रूप में किया गया। यह विवरण महत्वपूर्ण है क्योंकि यह दिखाता है कि हमलावर बॉट के व्यवहार पर काम कर रहा था, न कि एकल-शॉट शोषण को चला रहा था। बाद में, हमलावर ने उन मार्गों की ओर रुख किया जहाँ अनुमतियाँ खुली रहीं। उस परिवर्तन ने एक बार की अनुमति को एक चल रही क्षमता के करीब कुछ में बदल दिया।

यह वह निर्णय-परत विफलता है जिसे “औद्योगिक MEV” आमतौर पर कम आंकता है। यदि आपका सिस्टम मशीन गति पर लाभ संकेतों के आधार पर खर्च को मंजूरी दे सकता है, तो हमलावर का काम संकेतों को आकार देना बन जाता है, कोड को तोड़ना नहीं।

क्यों लम्बित टोकन अनुमतियाँ नाली वाल्व बन गईं

टोकन अनुमतियाँ सामान्य होती हैं जब तक कि वे सामान्य नहीं होतीं। एक अनुमति बस एक अनुबंध को एक वॉलेट या दूसरे अनुबंध की ओर से टोकन खर्च करने की अनुमति है। सामान्य DeFi प्रवाह में, स्वैप या रूटिंग सक्षम करने के लिए अक्सर अनुमतियाँ दी जाती हैं। जोखिम परिचालन है: यदि अनुमतियाँ बनी रहती हैं, तो वे उस संदर्भ से अधिक समय तक जीवित रह सकती हैं जिसने उन्हें सुरक्षित बनाया।

इस मामले में, हमलावर ने उन मार्गों का निर्माण किया जहाँ अनुमतियाँ खुली रहीं। इससे हमलावर-नियंत्रित सहायक अनुबंधों के लिए स्थायी अनुमति बनी रही। उस अनुमति के साथ, हमलावर बॉट के अनुबंधों से संपत्तियाँ स्थानांतरित कर सकता था बिना हर बार बॉट के निर्णय प्रक्रिया को “फिर से जीतने” की आवश्यकता के।

नाली गई संपत्तियों में WETH, USDC, और USDT शामिल थे, और कुल हानि $7.5 मिलियन से अधिक थी।

ध्यान देने योग्य पैटर्न यह है कि यह एक भेद्यता शिकार नहीं था। यह एक अनुमति जाल था। एक बार जब अनुमतियाँ सक्रिय रहीं, तो वे प्रभावी रूप से बॉट के अनुबंधों में उन टोकनों के खिलाफ निकासी का अधिकार बन गईं। यह एक अलग प्रकार का जोखिम है जिस पर अधिकांश व्यापारी तब विचार करते हैं जब वे “शोषण” सुनते हैं।

ड्रेन के बाद ऑन-चेन फॉलो-थ्रू सिग्नल्स

ड्रेन के बाद, कुछ चुराए गए फंड्स को टॉर्नेडो कैश के माध्यम से भेजा गया। भेजी गई राशि निर्दिष्ट नहीं की गई, लेकिन दिशा स्पष्ट है: मिक्सिंग सीधी ऑन-चेन ट्रेसिंग की उपयोगिता को कम करती है और साफ़ एट्रिब्यूशन के लिए मानक को बढ़ाती है।

बाजार संरचना के दृष्टिकोण से, अगली बार निगरानी करने के लिए तीन व्यावहारिक संकेत हैं।

पहले, हमलावर से जुड़े पते से फॉलो-ऑन गतिविधियों का पालन करें, विशेष रूप से अतिरिक्त Tornado Cash जमा और कोई भी बाद में निकासी जो समेकन या ऑफ-रैंपिंग प्रयासों का संकेत दे सकती है।

दूसरा, यह कि क्या बॉट के हेल्पर-कॉन्ट्रैक्ट पथों से जुड़े किसी भी अनुमतियों या स्वीकृतियों का सक्रिय रहना। इस एक्सप्लॉइट का निर्भरता अनुमतियों के खुले रहने पर थी। यदि कोई समान अनुमतियाँ बनी रहती हैं, तो जोखिम केवल सैद्धांतिक नहीं है।

तीसरा, सैंडविच-हमले की आवृत्ति में परिवर्तन और jaredfromsubway.eth को श्रेय दिए गए हिस्से। इस बॉट को लगभग 70% एथेरियम सैंडविच हमलों से जोड़ा गया है, और सैंडविचिंग का अनुमान लगाया गया है कि यह व्यापारियों को प्रति वर्ष लगभग 60 मिलियन डॉलर की लागत आएगी, जिसमें नवंबर 2024 से अक्टूबर 2025 के बीच प्रति माह 60,000 से 90,000 हमले होंगे। यदि इस बॉट की गतिविधि ड्रेन के बाद महत्वपूर्ण रूप से घटती है, तो व्यापारियों को यह देखना चाहिए कि क्या "गैप" को अन्य अभिनेताओं द्वारा भरा जाता है या कुल सैंडविचिंग दबाव कम होता है।

सुरक्षा टीमों द्वारा एक सार्वजनिक पोस्टमॉर्टम, जिसमें यह विवरण शामिल हो कि अनुमोदन-रूटिंग लॉजिक को कैसे प्रेरित किया गया और कैसे समान MEV सिस्टम इसके खिलाफ मजबूत हो सकते हैं, यह पुष्टि करने का सबसे स्पष्ट तरीका होगा कि यह एक बार का संचालनात्मक चूक था या एक दोहराने योग्य प्लेबुक।

यह कोई अनुबंध बग नहीं था—यह MEV ऑटोमेशन था जिसे सामाजिक रूप से इंजीनियर किया गया था।

मैं इसे MEV संचालन के असफल होने के एक केस स्टडी के रूप में देख रहा हूँ। हमलावर को एक पारंपरिक कमजोरियों की आवश्यकता नहीं थी यदि वे हमलावर-नियंत्रित सहायक अनुबंधों के लिए अनुमतियों को विश्वसनीय रूप से उत्प्रेरित कर सकते थे। यही मुख्य पाठ है, और यह यहाँ की मैकेनिक्स में निहित है: नकली टोकन और पूल का उपयोग मार्ग बनाने के लिए किया गया, बॉट ने अनुमतियाँ उत्पन्न कीं, और बाद में हमलावर ने WETH, USDC, और USDT खींचने के लिए खुली अनुमतियों पर निर्भर किया।

एथेरियम पर निष्पादन गुणवत्ता को देख रहे व्यापारियों के लिए दो परिदृश्य महत्वपूर्ण हैं।

परिदृश्य एक संकुचन और गिरावट है। यदि ड्रेन जारेडफ्रॉमसबवे.ईथ को "अनुमतियाँ वापस लेना", अनुबंधों को अलग करना, या अन्यथा स्वचालन को धीमा करना मजबूर करता है, तो आप उम्मीद करेंगे कि इसका सैंडविच फुटप्रिंट कम से कम अस्थायी रूप से सिकुड़ जाएगा। पुष्टि बिंदु सरल है: इस अभिनेता के खिलाफ सैंडविच आवृत्ति या हिस्सेदारी में मापने योग्य गिरावट जो ऐतिहासिक आधार रेखा 60,000 से 90,000 मासिक हमलों और बॉट के लगभग 70% संबंध के खिलाफ है। अमान्यकरण बिंदु भी स्पष्ट है: गतिविधि तेजी से वापस आती है बिना ऑन-चेन व्यवहार में कोई स्पष्ट परिवर्तन के, यह दर्शाता है कि परिचालन हिट ने मशीन को महत्वपूर्ण रूप से प्रभावित नहीं किया।

परिदृश्य दो प्रतिस्थापन है। भले ही इस बॉट की गतिविधि घटती है, सैंडविचिंग केवल इसलिए नहीं गायब होती क्योंकि एक प्रमुख अभिनेता को नुकसान होता है। बाजार संरचना प्रोत्साहन बना रहता है। यहां पुष्टि बिंदु होगा एक स्थिर समग्र सैंडविच दर भले ही श्रेय जारेडफ्रॉमसबवे.ईथ से दूर चला जाए। अमान्यकरण बिंदु होगा सैंडविचिंग दबाव में व्यापक गिरावट जो एक छोटे से विघटन विंडो से परे बनी रहती है।

जो दूसरा क्रम प्रभाव मुझे चिंता है वह यह है कि यह "औद्योगिकीकृत MEV" डिज़ाइन विकल्पों को क्या करता है। यह शोषण पथ उन अनुमतियों के बारे में है जो बनी रहती हैं। यदि MEV सिस्टम अनुमति दायरे को कड़ा करके, अनुमति जीवनकाल को छोटा करके, या अधिक सख्त मार्ग मान्यता जोड़कर प्रतिक्रिया करते हैं, तो यह इस विशिष्ट विफलता मोड को कम कर सकता है लेकिन निष्पादन को धीमा कर सकता है या हिट दर को कम कर सकता है। यह व्यापार-ऑफ अमूर्त नहीं है। यह व्यापार मॉडल है।

टॉरनेडो कैश रूटिंग अपेक्षाओं को संकुचन की ओर धकेलती है न कि त्वरित वसूली की। एक बार मिश्रण प्रवाह में प्रवेश करने के बाद, व्यावहारिक प्रश्न यह बन जाता है कि क्या कोई शेष अनुमतियाँ अभी भी एक ड्रेन वाल्व के रूप में उपयोग की जा सकती हैं, न कि क्या फंड को साफ-सुथरे तरीके से वापस लिया जा सकता है।

थीसिस सीधी है: यह घटना दिखाती है कि मशीन-गति MEV में सबसे कमजोर "कड़ी" अक्सर निर्णय स्तर होता है, और यह पुष्टि की जाएगी यदि ऑन-चेन डेटा दिखाता है कि शेष अनुमतियाँ वह स्थायी क्षमता थीं जिसने बॉट के अनुबंधों से बार-बार हस्तांतरण को सक्षम किया।

स्रोत

• कोइनडेस्क