Hvordan en bot fikk og mistet over 1 million dollar ETH på én natt

Tirsdag kveld fikk en Ethereum MEV-bot 800 ETH gjennom bruk av smart arbitrage, bare for å miste alt og mer til en hacker en time senere.

Her er hvordan situasjonen utspilte seg på kjeden:

• Arrangementet begynte med at en tredjepartshandler ved en feil tapte nesten 2 millioner dollar på spreads på Uniswap v2-handel. Mens han opprinnelig handlet i 1.8 millioner cUSDC, han bare mottatt 518 USDC i retur. 
• I følge Flashbots produktleder Robert Miller, skapte dette bare en "massiv arbitrasjemulighet" for en annen trader til å komme inn og kreve mye ETH.
• «0xbaDc0dE [MEV-boten] kjørte pliktoppfyllende tilbake arb i mempoolen (!) i en lang arb som berører mange protokoller, forklarte han. Til slutt fikk boten 800 ETH. 
• Imidlertid ble ETH fullstendig stjålet bare en time senere. Miller hevder at boten ikke beskyttet funksjonen den brukes til å utføre dydx flashloans på riktig måte, noe som gjør den sårbar.

"Når du får et flashlån vil protokollen du låner fra kalle en standardisert funksjon på kontrakten din," sa han. "0xbaDc0dEs kode tillot dessverre vilkårlig kjøring."

• Ved å bruke denne sårbarheten, godkjente en angriper all botens WETH for utgifter på kontrakten, og deretter overførte den til sin egen adresse. Det var 1,106 WETH totalt, verdt over 1.4 millioner dollar på skrivetidspunktet. 
• Tallrike forfengelighet adresser generert av banning har også vært drenert på rundt 1 million dollar i ETH denne måneden.