جارد من سبواي—واحدًا من أكثر بوتات MEV في إيثريوم شهرة—تم القبض عليه في استغلال غير عادي أدى إلى سرقة حوالي 7.5 مليون دولار من WETH وUSDC وUSDT. وصفت شركة أمن البلوكشين Blockaid الحادثة في تقرير أمني غطته WuBlockchain، وصنّفته كهجوم جديد على منطق اتخاذ القرار الخاص بالبوت بدلاً من كونه ثغرة ذكية تقليدية. وأعاد الخسارة تشكيل الطريقة التي سيحتاج بها البنية التحتية للتداول الآلي على إيثريوم إلى الدفاع عن نفسها.
نشر المهاجم عقودًا خدعت أنظمة JaredFromSubway الآلية لمنح موافقات الرموز. بمجرد تفعيل هذه التصاريح، سحب المهاجم أصول البوت من WETH وUSDC وUSDT. لم يكن هناك هجوم تصيد، ولا عيب في العقود الذكية المُنشرة. ووضّحت Blockaid أن الحادث استغل "آلية اكتشاف فرص MEV الآلية وآلية الموافقة الخاصة بالبوت"، وهي فئة من المخاطر التي حظيت باهتمام أقل بكثير مقارنة بمراجعات الكود.
هذا التمييز مهم جدًا. منطق الروبوت نفسه — الجزء الذي يقيم المعاملات المعلقة ويقرر ما إذا كان سيُقدّم معاملة، أو يُؤخرها، أو يُحاصرها — اتخذ سلسلة من القرارات التي منحت المهاجم نقطة دخول. وبما أن الموافقات تم منحها داخل سير العمل الطبيعي للروبوت، فإن الضمانات القياسية التي تستخدمها المحافظ والبروتوكولات ضد المستخدمين البشريين لم تنطبق ببساطة. كان JaredFromSubway يعمل بنجاح لسنوات على إيثريوم، حيث أصبحت MEV عملًا متخصصًا وعالي التنافسية. لا يزال الشبكة السلسلة المهيمنة لـ DeFi، كما تؤكد البيانات الحديثة حول نشاط المطورين عبر أعلى سلاسل الكتل، مما يعني أن الروبوتات مثل هذه تتعامل مع حجم هائل من القيمة يوميًا.
استغلال منطقي، وليس استغلال كود
آلية الخدعة بسيطة. قام المهاجم بإنشاء سلاسل معاملات بدا أنها فرص MEV مربحة لأجهزة استشعار البوت. عندما تدخل البوت، كان مبرمجًا لتعيين صلاحيات للعملات التي يحتاج للتفاعل معها—نمط طبيعي يقلل من تكاليف الغاز على المدى الطويل. لكن هذه المرة، تم تعيين الصلاحيات لعقود يتحكم فيها المهاجم، والتي سحبت بعد ذلك الأصول. حدث السرقة بصمت عبر عمليات متعددة، وليس في هجوم واحد بقرض فlash أو إعادة إدخال.
ما يجعل هذه الحالة مختلفة هو غياب أي شيء يشبه ثغرة. عمل كود البوت تمامًا كما تم تصميمه. ببساطة، لم يكن قادرًا على التمييز بين تفاعل DeFi حقيقي وآخر مزيف تم تصميمه لاستغلال سلوك الموافقة الخاص به. بالنسبة لمشغلي البوتات، هذه مشكلة أصعب بكثير في الإصلاح مقارنة بتصحيح كود نموذجي. فهي تتطلب إعادة تصميم الطريقة التي تحاكي بها الأنظمة الآلية المعاملات، وتقيم مخاطر الطرف المقابل، وتدير موافقات الرموز في الوقت الفعلي.
أين تقع بوتات MEV بعد الخسارة
جارد من سبواي كان عنصرًا ثابتًا في MEV لإيثيريوم لسنوات، لذا فإن خسارة قدرها 7.5 مليون دولار ليست ضربة وجودية لمُشغلَيه. لكنها تكشف عن هدف كبير على كل روبوت يُنفّذ استراتيجيات تلقائية دون محاكاة عميقة للعقود التي يتفاعل معها. قد تواجه الروبوتات المنافسة هجمات تقليد الآن. سوق MEV قاسٍ بالفعل: تتنافس الروبوتات على السرعة، وإدراج الحزم، وعلاقات المُبنِين. إذا اضطر المُشغلون أيضًا للقلق بشأن التلاعب المنطقي على مستوى الموافقة، فستزداد تكلفة تشغيل روبوت آمن بشكل حاد.
كما يسلط الحادث الضوء على فجوة في سلسلة توريد MEV في إيثريوم. يرى مبنون الكتل والمرسلون مجموعات من المعاملات لكنهم نادرًا ما يتحققون من إمكانية استغلال نية تسلسل الروبوتات في مراحل سابقة. ما لم تطور المجتمع وسائط تُشير إلى أنماط الموافقة المشبوهة قبل وصولها إلى التنفيذ، تبقى الروبوتات إلى حد كبير وحدها. ومع تركيز خارطة طريق تطوير إيثريوم بشكل كبير على قوائم الإدراج ومقاومة الرقابة، لم تكن الأدوات التي تحمي الروبوتات من الاستغلال المنطقي ذات أولوية.
ما الذي لا يزال غير واضح
لم تُصدر Blockaid مخططات كاملة على السلسلة لتدفق الهجوم، لذا لا يزال يتم دراسة التسلسل الدقيق للمعاملات وكيف تم تجاوز فحوصات الموافقة الخاصة بالبوت. كما لا يُعرف ما إذا كان المهاجم استهدف JaredFromSubway تحديدًا أو ببساطة وضَع فخًا اصطاد أي بوت يفحص مجمع المعاملات. إذا كان يمكن تعميم هذه الطريقة، فقد تصبح استغلالًا قابلًا للتكرار ضد فئة كاملة من بوتات MEV على إيثريوم وحتى على شبكات الطبقة الثانية حيث توجد هياكل بوتات مماثلة.
بالنسبة للتجار ومستخدمي DeFi، فإن التعرض المباشر ضئيل. كانت الأصول تابعة لمشغل البوت، وليس للمستخدمين النهائيين. لكن عندما يفقد البوت الكبير السيولة فجأة، يمكنه الانسحاب من السوق، مما يوسع الفروق ويقلل من جودة التنفيذ على أزواج معينة. قد يكون هذا التأثير مؤقتًا، لكنه يُظهر مدى اعتماد سيولة DeFi على إيثريوم على عدد قليل من اللاعبين الآليين الذين يعملون بدفاعات رفيعة ضد تهديد محدد جدًا.