Kryptowaluty: Ukradł 500 000 dolarów w USDC, a następnie został okradziony przez bota MEV na Base

Kto myślał, że może oszukać, ten sam został oszukany, pisał już La Fontaine w Szczurze i Ostrydze. Anonimowy haker właśnie doświadczył gorzkiej lekcji na Base, sieci drugiej warstwy (layer 2) Ethereum obsługiwanej przez Coinbase. 6 sierpnia 2026 roku, opróżnił portfel (wallet) ofiary za pomocą phishingu, techniki oszustwa polegającej na podszywaniu się pod zaufaną stronę w celu kradzieży danych logowania. Ogłoszone łupy, 501 650 dolarów w USDC, zniknęły w kilka sekund. Ładny skok. Tylko że podczas próby przekształcenia tego skarbu w ETH na Uniswap, zignorował podstawową zasadę handlu on-chain. W rezultacie stracił trzy czwarte kwoty. Kluczowe punkty tego artykułu: * Haker ukradł 501 650 dolarów w USDC na Base, ale jego czyn zamienił się w fiasko, gdy stracił trzy czwarte kwoty, próbując przekształcić skradzione fundusze. * Bot MEV wykorzystał źle zabezpieczoną transakcję na Uniswap V4, zgarniając 370 000 dolarów dzięki atakowi typu sandwich, podczas gdy ofiara nie odzyskała swoich funduszy. Historia zaczyna się jak dziesiątki innych. Według Peckshield, haker wykradł około 501 650 dolarów w USDC z adresu ofiary na Base, o 2:29 UTC 6 sierpnia 2026 roku. Fundusze trafiły na adres kontrolowany przez napastnika w zaledwie kilka chwil. Do tego momentu nic niezwykłego. Szybka konwersja skradzionego stablecoina na aktywo trudniejsze do zablokowania to klasyka gatunku. USDC, emitowane przez Circle, mogą być zablokowane na prośbę sądową, w przeciwieństwie do natywnego ETH. Złodziej o tym wiedział. Nie zdawał sobie jednak sprawy, co go czeka na Uniswap. MEV: kiedy myśliwy staje się ofiarą na Uniswap V4 Oto sedno problemu. Aby przekształcić swoje USDC w wETH (wersja „opakowana” etheru, zgodna ze standardami tokenów ERC-20), napastnik przeszedł przez swap na Uniswap V4, nie aktywując ochrony przed slippage, mechanizmu, który ogranicza dopuszczalny rozrzut między wyświetlaną ceną a rzeczywistą ceną wykonania transakcji. Bez tego zabezpieczenia, zlecenie pozostało narażone w mempoolu, publicznej poczekalni, gdzie czekają transakcje przed zapisaniem ich w bloku. Bot MEV, jeden z tych robotów, które śledzą maksymalną wartość do wyekstrahowania (Maximal Extractable Value, całość zysków, które strona trzecia może uzyskać, reorganizując oczekujące transakcje), dostrzegł ofiarę. Według Value The Markets, 7 sierpnia 2026 roku, bot złożył transakcję tuż przed transakcją złodzieja, aby podnieść cenę, pozwolił na wykonanie swapu po obniżonej cenie, a następnie sprzedał tuż po. Klasyczna technika sandwich, atak, który łapie transakcję w szczypce. Przy wydatkach na gaz wynoszących około 3,5 ETH, bot zgarnął prawie 370 000 dolarów. Na Base nawet złodzieje płacą za slippage Zamiast milczeć, ofiara zdecydowała się na bezpośrednią konfrontację. Poprzez wiadomości on-chain, widoczne dla każdego, kto monitoruje zainteresowane adresy, publicznie zaatakowała hakera i operatora bota MEV, twierdząc, że zidentyfikowała sprawcę kradzieży. Nawet zaproponowała nagrodę w wysokości 10% kwoty w zamian za zwrot. Na dzień 7 sierpnia 2026 roku, żadne fundusze nie wróciły, a żadne aresztowanie nie zostało ogłoszone. Złodziej zatrzymał więc około 129 000 dolarów, bot MEV zgarnął 370 000, a ofiara straciła całość swojej początkowej inwestycji. PeckShield, który zgłosił atak zaledwie kilka godzin po zdarzeniu, precyzuje, że ani tożsamość operatora bota, ani wektor phishingowy użyty przeciwko ofierze nie zostały ujawnione. Anecdota może wywołać uśmiech. Base, której wolumeny transferów stablecoinów należą do najwyższych wśród wszystkich sieci Ethereum, logicznie przyciąga coraz więcej botów MEV w poszukiwaniu źle zabezpieczonych swapów, niezależnie od tego, czy należą do rozkojarzonego tradera, czy do pośpiesznego rabusia. Łańcuch wykonuje to, co jest zapisane w mempoolu, bez rozróżnienia między ofiarą a jej oprawcą. Aktywowanie ochrony przed slippage lub korzystanie z agregatora DEX, który potrafi kierować zlecenia poza zasięg botów, zajmuje kilka sekund każdemu użytkownikowi Base. Prosta ostrożność. Ten haker zapłacił za tę niedbałość 370 000 dolarów.

Niniejsza treść ma charakter wyłącznie informacyjny i nie stanowi porady finansowej, inwestycyjnej, prawnej ani podatkowej. Wszelkie wydarzenia, nagrody, promocje online lub powiązane informacje, o których tu mowa, nie powinny być traktowane jako rekomendacja, zachęta ani zaproszenie do kupna, sprzedaży, wymiany lub innego rodzaju obrotu aktywami kryptograficznymi. Aktywa kryptograficzne charakteryzują się dużą zmiennością i mogą prowadzić do strat. Dostępność usług, produktów i powiązanych wydarzeń WEEX może się różnić w zależności od regionu. Użytkownik jest odpowiedzialny za upewnienie się, że jego udział jest zgodny z obowiązującymi lokalnymi przepisami i regulacjami.