رمزارزها: دزدی ۵۰۰,۰۰۰ دلار در USDC و سرقت توسط یک ربات MEV در Base

کسی که فکر می‌کرد می‌تواند دیگران را فریب دهد، خود فریب خورده است، لا فونتین در موش و صدف نوشته است. یک هکر ناشناس به تازگی این تجربه تلخ را در Base، شبکه لایه دومی که توسط Coinbase اداره می‌شود، داشته است. در تاریخ ۶ اوت ۲۰۲۶، او کیف پول یک قربانی را از طریق فیشینگ خالی کرد، تکنیکی که در آن یک وب‌سایت معتبر جعل می‌شود تا اطلاعات شناسایی سرقت شود. غنیمت اعلام شده، ۵۰۱,۶۵۰ دلار در USDC که در چند ثانیه ناپدید شد. یک ضربه زیبا. اما وقتی که او تلاش کرد این گنج را به ETH در Uniswap تبدیل کند، یک قاعده اساسی تجارت زنجیره‌ای را نادیده گرفت. نتیجه این شد که سه چهارم از مبلغ را از دست داد. نکات کلیدی این مقاله: * یک هکر ۵۰۱,۶۵۰ دلار در USDC را در Base دزدید، اما عمل او به یک فاجعه تبدیل شد وقتی که سه چهارم از مبلغ را در تلاش برای تبدیل وجوه دزدیده شده از دست داد. * یک ربات MEV از یک معامله به‌خوبی محافظت نشده در Uniswap V4 سوءاستفاده کرد و ۳۷۰,۰۰۰ دلار به‌دست آورد، در حالی که قربانی نتوانست وجوه خود را بازیابی کند. داستان مانند ده‌ها داستان دیگر آغاز می‌شود. به گفته Peckshield، هکر حدود ۵۰۱,۶۵۰ دلار در USDC را از آدرس یک قربانی در Base در ساعت ۲:۲۹ UTC در ۶ اوت ۲۰۲۶ کشیده است. وجوه در چند لحظه به آدرسی که توسط مهاجم کنترل می‌شد، منتقل شد. تا اینجا، چیزی غیرعادی نیست. تبدیل سریع یک استیبل‌کوین دزدیده شده به یک دارایی که مسدود کردن آن دشوارتر است، یک کلاسیک در این زمینه است. USDC، که توسط Circle منتشر شده است، می‌تواند با یک درخواست قضایی مسدود شود، بر خلاف ETH بومی. دزد این را می‌دانست. اما او نمی‌دانست که چه چیزی در انتظارش در Uniswap است. MEV: وقتی شکارچی در Uniswap V4 طعمه می‌شود اینجا مشکل اصلی است. برای تبدیل USDC خود به wETH (نسخه «پوشش‌دار» اتر که با استانداردهای توکن‌های ERC-20 سازگار است)، مهاجم از یک مبادله در Uniswap V4 بدون فعال کردن محافظت در برابر لغزش استفاده کرد، این مکانیزم که فاصله مجاز بین قیمت نمایش داده شده و قیمت واقعی اجرا شده یک معامله را محدود می‌کند. بدون این محافظ، سفارش به‌صورت واضح در mempool، اتاق انتظار عمومی که معاملات قبل از ثبت در یک بلوک در آن منتظر می‌مانند، باقی ماند. یک ربات MEV، یکی از آن ربات‌هایی که به دنبال حداکثر ارزش قابل استخراج (Maximal Extractable Value) است، طعمه را شناسایی کرد. به گفته Value The Markets، در ۷ اوت ۲۰۲۶، ربات یک معامله درست قبل از معامله دزد قرار داد تا قیمت را بالا ببرد، اجازه داد مبادله با یک نرخ پایین‌تر اجرا شود و سپس بلافاصله بعد از آن بفروشد. تکنیک کلاسیک ساندویچ، حمله‌ای که یک معامله را در چنگال می‌گیرد. با حدود ۳.۵ ETH هزینه گاز صرف شده، ربات نزدیک به ۳۷۰,۰۰۰ دلار به‌دست آورد. در Base، حتی دزدان هم هزینه لغزش را پرداخت می‌کنند. به جای سکوت، قربانی انتخاب کرد که به‌طور مستقیم مقابله کند. از طریق پیام‌های زنجیره‌ای، که برای هر کسی که آدرس‌های مربوطه را زیر نظر دارد قابل مشاهده است، او به‌طور عمومی به هکر و اپراتور ربات MEV اعتراض کرد و ادعا کرد که هویت دزد را شناسایی کرده است. او حتی پیشنهاد پاداش ۱۰ درصدی از مبلغ را در ازای بازگشت وجوه ارائه داد. تا تاریخ ۷ اوت ۲۰۲۶، هیچ وجهی بازنگشته و هیچ دستگیری اعلام نشده بود. بنابراین دزد حدود ۱۲۹,۰۰۰ دلار را نگه داشته است، ربات MEV ۳۷۰,۰۰۰ دلار به‌دست آورده و قربانی تمام سرمایه اولیه خود را از دست داده است. PeckShield، که حمله را تنها چند ساعت پس از وقوع گزارش کرد، تصریح کرد که نه هویت اپراتور ربات و نه روش فیشینگ استفاده شده علیه قربانی عمومی شده است. این داستان می‌تواند لبخند به لبان بیاورد. Base، که حجم انتقال استیبل‌کوین‌هایش در میان بالاترین‌ها در تمام شبکه‌های Ethereum قرار دارد، به‌طور منطقی ربات‌های MEV بیشتری را به‌خود جذب می‌کند که به دنبال مبادلات به‌خوبی محافظت نشده هستند، چه متعلق به یک تاجر حواس‌پرت باشد یا یک دزد عجول. زنجیره آنچه را که در mempool نوشته شده است، بدون تمایز بین یک قربانی و جلادش اجرا می‌کند. فعال کردن محافظت در برابر لغزش یا استفاده از یک تجمیع‌کننده DEX که قادر به مسیریابی سفارشات خارج از دسترس ربات‌ها است، چند ثانیه از هر کاربر Base زمان می‌برد. یک احتیاط ساده. این دزد، این بی‌احتیاطی را ۳۷۰,۰۰۰ دلار پرداخت کرده است.