500.000 USD bị đánh cắp trên Base, bot MEV lấy mất 74%

Một kẻ tấn công đánh cắp 500.000 USD từ ví của nạn nhân trên Base đã để mất tới 74% số tiền này, tương đương 370.000 USD, vào tay một bot MEV (Miner Extractable Value - giá trị tối đa có thể trích xuất) ngay trong quá trình hoán đổi tài sản. Nguyên nhân bắt nguồn từ việc kẻ này vội vàng quy đổi số tiền đánh cắp thành tài sản thanh khoản cao mà quên bật cơ chế bảo vệ khi swap.

Công ty bảo mật PeckShield cho biết kẻ tấn công đã đánh cắp lượng USD Coin (USDC) trị giá 500.000 USD từ ví của nạn nhân trên Base, mạng layer 2 của Ethereum do Coinbase(COIN) phát triển. Theo Crypto Briefing đưa tin ngày 6 (giờ địa phương), kẻ này sau đó tìm cách chuyển số USDC lấy được sang các tài sản thuộc hệ sinh thái Ethereum(ETH), nhưng chính động thái này lại khiến hắn trở thành mục tiêu của bot MEV.

Sai lầm xuất phát từ chính sự bất cẩn của kẻ tấn công. Nhanh chóng chuyển tài sản đánh cắp sang token có thanh khoản cao là bước đi quen thuộc trong giới tội phạm on-chain, nhưng lần này kẻ tấn công lại không bật tính năng bảo vệ trượt giá (slippage protection) khi thực hiện giao dịch swap. Đây là cơ chế tự động hủy giao dịch nếu chênh lệch giữa giá dự kiến và giá khớp lệnh thực tế vượt quá ngưỡng cho phép. Sơ hở này không qua được mắt của bot MEV.

Bot MEV theo dõi mempool công khai đã phát hiện lệnh swap giá trị lớn này và lập tức thực hiện một cuộc tấn công sandwich: đặt lệnh mua trước để đẩy giá lên, rồi bán ra ngay khi lệnh của kẻ tấn công được khớp để hưởng chênh lệch. Kết quả, kẻ tấn công chỉ còn giữ được 67,9 Ether bọc (WETH), tương đương khoảng 129.000 USD.

Vụ việc cho thấy ngay cả tài sản đánh cắp cũng đối mặt rủi ro lớn ở khâu quy đổi thành tiền mặt. Khoảng thời gian giao dịch nằm trên mempool công khai trước khi được xử lý càng dễ bị theo dõi khi giá trị giao dịch càng lớn. Trước đó, ngành ví dành cho tổ chức từng giới thiệu tính năng né tránh tình trạng giao dịch bị đẩy lùi khi các lệnh trước đó lưu lại quá lâu trên mempool, một biện pháp nhắm vào chính lỗ hổng này. Kẻ từng chiếm đoạt ví của nạn nhân, cuối cùng lại trở thành nạn nhân trước một bot tự động tinh vi hơn.