Криптовалюти: Хакер вкраде 500 000 доларів у USDC і стає жертвою бота MEV на Base

Такого, хто хотів взяти, взяли , писав ще Лафонтен у Щурі та устриці. Анонімний хакер щойно пережив гіркий досвід на Base, мережі другого рівня (layer 2) Ethereum, що управляється Coinbase. 6 серпня 2026 року він очистив гаманець (wallet) жертви через фішинг, техніку обману, що полягає в підробці довіреного сайту для крадіжки ідентифікаторів. Оголошений улов — 501 650 доларів у USDC, які зникли за кілька секунд. Гарний удар. Однак, намагаючись конвертувати цей скарб в ETH на Uniswap, він пропустив елементарне правило торгівлі в ончейн. В результаті він втратив три чверті суми. Ключові моменти цієї статті: * Хакер викрав 501 650 доларів у USDC на Base, але його дія перетворилася на провал, коли він втратив три чверті суми, намагаючись конвертувати вкрадені кошти. * Бот MEV скористався ненадійною транзакцією на Uniswap V4, заробивши 370 000 доларів завдяки атаці «сендвіч», тоді як жертва не змогла повернути свої кошти. Історія починається, як десятки інших. За даними Peckshield, хакер siphonував близько 501 650 доларів у USDC з адреси жертви на Base о 2:29 UTC 6 серпня 2026 року. Кошти потрапили на адресу, контрольовану нападником, за кілька миттєвостей. До цього моменту нічого незвичайного. Швидка конверсія вкраденого стейблкоїна в актив, який важче заморозити, є класикою жанру. USDC, випущені Circle, можуть бути заблоковані за простим судовим запитом, на відміну від рідного ETH. Злодій знав це. Однак він не знав, що його чекає на Uniswap. MEV: коли мисливець стає жертвою на Uniswap V4 Ось у чому проблема. Щоб перетворити свої USDC на wETH (обгорнуту версію ефіру, сумісну зі стандартами токенів ERC-20), нападник пройшов через своп на Uniswap V4, не активувавши захист від сліпучості, механізму, який обмежує допустимий розрив між відображеною ціною та реальною ціною виконання транзакції. Без цього захисту замовлення залишалося відкритим у мемпулі, публічному залі очікування, де чекають транзакції перед їх реєстрацією в блоці. Бот MEV, один з тих роботів, які відстежують максимальну витягувану вартість (Maximal Extractable Value, всі прибутки, які третя сторона може отримати, перерозподіляючи очікуючі транзакції), виявив жертву. За даними Value The Markets, 7 серпня 2026 року бот розмістив транзакцію прямо перед транзакцією злодія, щоб підвищити ціну, дозволив свопу виконатися за зниженою ціною, а потім перепродав відразу після. Класична техніка сендвіча, атака, яка затискає транзакцію в лещата. За приблизно 3,5 ETH витрачених на газ, бот заробив близько 370 000 доларів. На Base навіть злодії платять за сліпучість Замість того, щоб залишитися мовчазною, жертва вибрала пряме зіткнення. Через повідомлення в ончейн, видимі для будь-кого, хто стежить за відповідними адресами, вона публічно звернулася до хакера та оператора бота MEV, стверджуючи, що ідентифікувала автора крадіжки. Вона навіть запропонувала винагороду у 10% від суми в обмін на повернення. На дату 7 серпня 2026 року жодні кошти не були повернуті, і жодного арешту не було оголошено. Отже, злодій зберігає близько 129 000 доларів, бот MEV заробив 370 000, а жертва втратила всю свою початкову ставку. PeckShield, який повідомив про атаку всього через кілька годин після події, уточнює, що ні особа оператора бота, ні вектор фішингу, використаний проти жертви, не були оприлюднені. Ця анекдота може викликати усмішку. Base, обсяги переказів стейблкоїнів якої входять до числа найвищих серед усіх мереж Ethereum, логічно приваблює все більше ботів MEV у пошуках ненадійних свопів, які належать або відволіканому трейдеру, або поспішному грабіжнику. Ланцюг виконує те, що написано в мемпулі, без розрізнення між жертвою та її катом. Активувати захист від сліпучості або скористатися агрегатором DEX, здатним маршрутизувати замовлення поза досяжністю ботів, займає кілька секунд для будь-якого користувача Base. Простий захід. Цей хакер заплатив за цю недбалість 370 000 доларів.

Цей контент надано лише для загальних інформаційних цілей і не є фінансовою, інвестиційною, юридичною чи податковою консультацією. Події, нагороди, онлайн-акцій або пов’язану інформацію, згадана тут, не слід розглядати як рекомендацію, прохання чи запрошення до купівлі, продажу, торгівлі чи інших операцій з криптоактивами. Криптоактиви є дуже волатильними та можуть призвести до збитків. Доступність послуг, продуктів WEEX та пов’язаних із ними подій може відрізнятися залежно від регіону. Ви несете відповідальність за забезпечення відповідності вашої участі чинному місцевому законодавству та нормативним актам.