Мошенники выпустили фейковые токены и украли с помощью сэндвич-бота $7,5 млн

Известный бот для торговли Ethereum стал жертвой мошеннической схемы — злоумышленники заманили автоматизированного бота поддельной торговой схемой.

Предварительный анализ показывает, что утечка средств могла произойти в результате сложной стратегии противодействия MEV, разработанной для использования собственной логики бота автоматизированной торговли.

Система обнаружения эксплойтов Blockaid обнаружила уязвимость, связанную с ботом MEV на Ethereum. Инцидент произошёл из-за того, что контракты, контролируемые злоумышленниками, обманули автоматизированную систему исполнения ордеров MEV, заставив её подтвердить вывод токенов, которые впоследствии были использованы для кражи средств, — сообщили специалисты компания Blockaid.

Это едва ли не первая такая неудача сэндвич-бота JaredFromSubway, который получил известность благодаря манипулированию трейдерами децентрализованных бирж посредством инсайдерских и бэкраннерских транзакций.

В Blockaid отметили, что разработанная уязвимость отличалась от традиционных фишинговых атак и необязательно связана с уязвимостью в смарт-контракте. Схема нацелена на торговую логику бота, заставляя его интерпретировать фиктивные возможности как прибыльные и авторизовывать контракты, находящиеся под контролем злоумышленников.

Злоумышленники сфабриковали экосистему из 66 поддельных токенов и пулов, включая Wrapped ETH (WETH), $USDC ($USDC) и USDt (USDT), а затем связали их с токенами CAP. Подделки имитировали индикаторы MEV, которые бот должен был обнаружить и запустить автоматические протоколы одобрения контрактов, контролируемых злоумышленниками.

По данным Etherscan, бот потерял $7,5 млн. Сетевые данные указывают на то, что злоумышленники уже перевели часть украденных средств в Tornado Cash.