Криптовалютный рынок становится все более автоматизированным.
От MEV-ботов и арбитражных роботов до алгоритмических систем маркет-мейкинга — автоматизированное исполнение стало важной частью современных блокчейн-торгов.
Однако недавние атаки на известного бота Sandwich для Ethereum снова доказывают:
Автоматизированная система без контроля безопасности может стать своим собственным наибольшим уязвимым местом.
Атакующие не взломали криптографию.
Также не были использованы уязвимости базовой блокчейн-сети.
Они нацелены на самый недооцениваемый элемент автоматизированных систем:
Permission to execute trades.
Как происходит атака MEV Bot?
Jaredfromsubway.eth — один из самых активных операторов sandwich-ботов в экосистеме Ethereum.
Злоумышленники создают ложные торговые возможности, чтобы склонить роботов к выполнению торговых маршрутов, кажущихся прибыльными.
Процесс атаки включает в себя:
- Создавать торговые маршруты, выдающие себя за высокодоходные арбитражные возможности;
- Использование бота для взаимодействия с вредоносным смарт-контрактом маршрутизации;
- Получить разрешение на токен;
- Используйте авторизацию для прямого перевода средств робота.
Эти атаки не являются прямыми атаками на блокчейн.
А вместо этого используйте механизм доверия автоматизированной системы для внешних взаимодействий.
Скрытые риски автоматизированного исполнения
Современные торговые роботы полагаются на множество смарт-контрактов и внешних протоколов для выполнения сделок.
Эти системы обычно требуют авторизации:
- Перевод токенов;
- Вызов контракта;
- Торговля через DEX-маршрутизатор;
- Ликвидностные операции.
Автоматизация повысила эффективность торговли, но каждая авторизация также означает потенциальный риск.
Кажущаяся нормальной торговая возможность, если система исполнения не проверила должным образом:
- Подлинность фьючерсного контракта;
- Область полномочий;
- Торговые операции;
- Длительность прав;
Это может превратиться из возможности для прибыли в инцидент безопасности.
В среде высокочастотной торговли:
Потери от одной неправильной авторизации могут превысить прибыль от тысяч успешных сделок.
Почему безопасность должна быть приоритетом для профессиональной инфраструктуры маркет-мейкинга?
Та же проблема существует и в профессиональных рынковых системах маркет-мейкинга.
Маркет-мейкерам необходимо подключаться к нескольким биржам, системам кошельков и протоколам в цепочке.
В процессе ежедневного выполнения включаются:
- CEX API;
- Ликвидные пулы DEX
- Автоматизированный маршрут торговли;
- On-chain execution environment.
Без надежной архитектуры безопасности автоматическое выполнение может лишь усилить риски.
Профессиональная система маркет-мейкинга требует не только торговых алгоритмов.
Требуется более полная система безопасности.
Какие безопасностные возможности должна иметь следующая поколение системы маркет-мейкинга?
Контроль доступа (Permission Control)
All contract interactions should be thoroughly verified.
Ограничьте ненужные права доступа, чтобы снизить риск злонамеренных вызовов.
2. Изоляция рисков (Risk Isolation)
Перевести:
- Торговый счет;
- Операционный кошелек;
- Резервы средств;
Используйте изолированное управление.
Даже если возникнет проблема в одной среде выполнения, это не повлияет на общую безопасность активов.
3. Мониторинг в реальном времени (Real-Time Monitoring)
Система должна постоянно отслеживать:
- Подозрительная торговая активность;
- Подозрительная авторизация;
- Несанкционированный вызов контракта;
- Risk trading path.
Остановите проблему до того, как она усугубится.
4. Некастодиальная архитектура (Non-Custodial Architecture)
Снизьте ненужную экспозицию активов.
Снизьте влияние потенциальных атак с помощью более безопасного режима выполнения.
Новый стандарт автоматической торговли: помимо скорости, важна безопасность
По мере того как рынок Web3 становится все более зрелым, безопасность не должна быть дополнительной функцией.
Оно должно стать частью торговой инфраструктуры.
Будущие алгоритмические торговые системы должны одновременно обладать:
- Интеллектуальная способность исполнения;
- Способность управлять ликвидностью;
- Способность к управлению рисками;
- Security verification capabilities.
Потому что:
Быстрое исполнение уже недостаточно; надежное исполнение — это суть.
CiaoAI: создание безопасной интеллектуальной инфраструктуры алгоритмической ликвидности
Современный веб3-рынок требует чего-то большего, чем просто торговые роботы.
Требуется профессиональная инфраструктура ликвидности, сочетающая эффективность и безопасность.
Решения для маркет-мейкинга включают:
- Автоматизированные торговые стратегии;
- Управление ликвидностью на нескольких биржах;
- Постоянный мониторинг рисков;
- Умное сбалансирование запасов;
- Secure trading architecture.
В эпоху алгоритмической торговли:
Стоимость одной неправильной авторизации может превысить прибыль от тысячи успешных сделок.
Настоящая устойчивая ликвидность требует не только более умных алгоритмов, но и более безопасной инфраструктуры.