أكبر روبوت ساندويتش على إيثريوم يخسر 7.5 مليون دولار عبر مسارات مزيفة

خسر Jaredfromsubway.eth، المصنف كأكبر روبوت ساندويتش على إيثريوم، 7.5 مليون دولار عبر هجوم اعتمد على موافقة مسارات تداول مزيفة. صمم المهاجم مسارات بدت شرعية للروبوت، ثم استخدم الصلاحيات الممنوحة لسحب WETH وUSDC وUSDT. وبحساب بسيط عند 1,350 وون للدولار، يصل الضرر إلى نحو 10.1 مليارات وون. المفارقة واضحة: روبوت آلي صمم للربح من وضع الصفقات حول معاملات الآخرين أصبح ضحية لإساءة استخدام الموافقات.

هجوم موافقات على روبوت MEV

تقرأ روبوتات الساندويتش تدفق أوامر البورصات اللامركزية وتضع أوامر شراء وبيع قبل الصفقة المستهدفة وبعدها. تعتمد هذه الاستراتيجية على السرعة، وأتمتة التوجيه، ومنافسة رسوم الغاز، وصلاحيات واسعة للتوكنات. أصاب الهجوم هذه الطبقة مباشرة. بعد موافقة Jaredfromsubway.eth على المسارات المزيفة، استخدم المهاجم الحد المفتوح لنقل الإيثر المغلف والعملات المستقرة المرتبطة بالدولار إلى عناوين خارجية. الحادث أقرب إلى إساءة استخدام موافقات التوكنات منه إلى سرقة مفتاح خاص.

دلالة السوق

خسارة 7.5 مليون دولار مهمة أيضا للمستثمرين الكوريين، فهي تتجاوز 10 مليارات وون تقريبا. USDC وUSDT قناتان مركزيتان للسيولة، وWETH مستخدم على نطاق واسع في الضمانات وأزواج التداول داخل DeFi. إذا تحركت الأموال المسروقة عبر عناوين ومقايضات متعددة، فقد ترتفع أعباء مراقبة الإيداعات المشبوهة ومصادر المحافظ الخارجية على المنصات الكورية. على المستخدمين مراجعة الموافقات القديمة، والصلاحيات غير المحدودة، والراوترات غير الموثقة.

التوقعات

توضح الحادثة أن أرباح MEV لا تكفي من دون تصميم أمني قوي. من المتوقع أن تعتمد استراتيجيات التداول السريع على السلسلة قوائم راوترات مسموحة، وحدودا للموافقات، وحجبا فوريا للمعاملات الشاذة، وتحكما بالسحب عبر توقيعات متعددة. أما المستخدم العادي فعليه فصل أصول المنصات عن الحفظ الذاتي وإلغاء الموافقات غير الضرورية بعد استخدام DEX.