Потери превышают 7.5 миллионов долларов: анализ атаки honeypot на MEV-бота и отслеживание украденных средств

marsbitОпубликовано 2026-06-22Обновлено 2026-06-22

Введение

21 июня один из самых активных MEV-ботов в сети Ethereum, Jaredfromsubway.eth, стал жертвой сложной атаки типа "honeypot" (ловушка), в результате которой было похищено активов на сумму более 7,5 миллионов долларов. Атака использовала серию специально созданных контрактов (координатор, триггер, поддельные токены и пулы ликвидности), чтобы имитировать прибыльные арбитражные возможности. Ключевым механизмом была хитроумная схема обмана для получения авторизаций (approvals) на перевод средств. Злоумышленники выполняли мелкие "приманные" транзакции, которые выглядели нормально и полностью расходовали авторизацию, и крупные транзакции, которые оставляли авторизацию нетронутой. MEV-бот, видя прибыль от мелких операций, авторизовал крупные суммы для поддельных контрактов, полагая, что авторизация будет израсходована в процессе свопа. Однако в крупных транзакциях поддельные контракты не использовали авторизацию для перевода реальных токенов, а вместо этого создавали фальшивые. В результате за ботом оставались активные разрешения на перевод крупных сумм USDC, USDT и WETH. В финальной фазе атаки координаторский контракт вызвал функцию drain, которая напрямую перевела все авторизованные средства на адрес злоумышленника. В итоге атакующий адрес получил 2,87 млн USDC, 2,04 млн USDT и 1474 ETH. Большая часть средств была сконвертирована в ETH и распределена по нескольким адресам, часть ETH была отправлена в Tornado Cash. Данный инцидент демонстрирует изощренную тактику, при которой атак...

21 июня один из самых активных MEV-ботов в сети Ethereum, Jaredfromsubway.eth, стал жертвой тщательно спланированной «атаки honeypot», в результате которой было потеряно более 7,5 миллионов долларов в криптоактивах. Ниже представлен анализ данной атаки и отслеживание потока украденных средств от команды безопасности Beosin.

Анализ процесса атаки

Семейство атакующих контрактов

- Координатор контракта (0xb84db016324e8f2bfdd8dd9c260338aee0a8df52): отвечает за запись состояния текущего блока (armed) и на финальном этапе циклически вызывает дочерние контракты для извлечения средств.- Триггер контракта (0x4de8c729a064ff6087cc84a4152969349e4feb98): отвечает за установку поддельного состояния торговых пар в пределах того же блока, делая арбитражный путь выглядещим исполняемым.- Дочерние контракты / поддельные токен-контракты: маскируются под обычные токены ERC-20, чтобы получить реальные разрешения (allowances).- Hub-контракт: отвечает за выплату небольшой реальной прибыли, чтобы MEV-бот считал операцию выгодной.- Ring V2 pair: поддельная торговая пара Uniswap v2.- Поддельные промежуточные токен-контракты: используются для построения многошагового арбитражного пути, например, fCAP, fUSDC.

Ключ атаки: обманное получение разрешений (allowances)

Проанализировав транзакции в блокчейне, злоумышленник сконструировал несколько наборов приманных транзакций:

- Крупная сумма USDC: бот получил прибыль около 36.997120 USDC, но оставил разрешение на 20 USDC.- Крупная сумма USDT: бот получил прибыль около 37.053440 USDT, но оставил разрешение на 20 USDT.- Крупная сумма WETH: бот получил прибыль около 0.0179 WETH, но оставил разрешение на 16 WETH.- Мелкие транзакции выглядели нормально: разрешения (allowances) расходовались в рамках той же транзакции, чтобы снизить подозрения.

В мелких транзакциях после того, как бот выдавал разрешение на использование реальных токенов, дочерний контракт немедленно переводил эти реальные токены, разрешение расходовалось, и всё выглядело совершенно нормально.

В крупных транзакциях дочерний контракт не вызывал transferFrom для перевода реальных токенов, а вместо этого чеканил поддельные токены через сфабрикованные торговые пары. Бот думал, что выполнил обычные подготовительные шаги для обмена (swap), но реальное разрешение на использование токенов (allowance) оставалось сохранённым.

В этом и заключается суть всей атаки: мелкие транзакции нормально расходуют разрешения, крупные транзакции сохраняют разрешения.

Процесс атаки

В качестве примера рассмотрим атакующую транзакцию с USDC:

(1) Злоумышленник вызывает координатор, переводя текущий блок в состояние armed.(2) Злоумышленник вызывает триггер, обновляя состояние нескольких сфабрикованных торговых пар Ring V2.(3) MEV-бот обнаруживает арбитражную возможность и выполняет транзакцию.

Внутренний процесс транзакции MEV-бота выглядел примерно так:

(1) Контракт MEV-бота выдал крупное разрешение на использование USDC (allowance) одному из дочерних контрактов.(2) MEV-бот вызывает функцию wrapTo/wrap дочернего контракта.(3) Поскольку текущее состояние - armed, дочерний контракт не расходует реальные USDC, а вместо этого чеканит поддельные токены для торговой пары. Разрешение на использование USDC остается сохранённым.(4) MEV-бот продолжает вызов функции swap на поддельной торговой паре.(5) Вторая торговая пара отправляет токены MEV-боту.(6) Hub-контракт выплачивает MEV-боту небольшую реальную прибыль в USDC.

Пример approval (разрешения)

Хэш транзакции: 0x0121e07a916c06eea3e7daf11893f3f0b95b9e1684124545ae14c32aee6029bb

Что увидел MEV-бот: успешная арбитражная сделка, принесшая реальную прибыль в USDC. Однако разрешение на использование USDC (allowance) было сохранено дочерним контрактом. Эта схема была повторно выполнена для USDC, USDT, WETH, что в итоге привело к накоплению большого количества разрешений (allowances).

Хэш атакующей транзакции:

0x2be8704f5a59b69e0b71f64aefdb99eb0e8ae9fb3926147c581910d71bcf3e65

Злоумышленник вызывает функцию drain loop контракта-координатора, calldata содержит адреса 66 дочерних контрактов, а также адрес контракта MEV-бота. Если контракт MEV-бота ранее оставил для дочерних контрактов разрешения на использование средств (allowances), то дочерние контракты могут напрямую перевести соответствующие реальные токены злоумышленнику.

Итоговый результат:

- Полностью использованы все крупные разрешения на 20 USDC.- Полностью использованы все крупные разрешения на 16 WETH.- Часть разрешений для USDT всё ещё существует, но баланс USDT уже недостаточен.

Анализ движения средств

После успешной атаки адрес злоумышленника (0x3e37f4A10d771Ba9dE44b6d301410b1BEdeA65d0) получил $2.87 млн USDC, $2.04 млн USDT и 1,474 WETH. Затем злоумышленник обменял стейблкоины на ETH и перевёл их на следующие 4 адреса:

- 0xe3Da36E4bd1a5738fa5D6Ef4F0e4dF40bDeB5f17 (около 1,000 ETH)- 0x74Dc5b93586D248D5Aec64b3586736FF0A0D0e65 (1,001 ETH)- 0xd8C125efCBc99408eC8723E9BBd81d1E8D39D845 (1,001 ETH)- 0x71d4416A7A85e08a5Fe7227Ca3B44Fc639e94e97 (1,423 ETH)

Из них 0xe3Da3 уже перевел 1,000 ETH в Tornado Cash, средства на трёх других адресах далее не перемещались. График движения средств представлен ниже:

Заключение

Данная атака демонстрирует высокоточный метод: злоумышленник не атакует код контракта напрямую, а на основе бизнес-логики MEV-бота, конструируя соответствующий арбитражный сценарий, вводит MEV-бота в заблуждение, заставляя его выдавать на первый взгляд безобидные разрешения (allowances), а затем переводит его активы. Для арбитражных ботов и MEV-ботов недостаточно полагаться только на симуляцию прибыли для оценки безопасности маршрута. Особенно когда в арбитражном пути присутствуют незнакомые контракты, поддельные токены или пользовательские обёртки (wrappers), следует проявлять осторожность и, возможно, принудительно проверять изменения в разрешениях (allowances) после транзакции.

Читать оригинал статьи

Трендовые криптовалюты

CitreaCTR

wrapped stUSDTWSTUSDT

Velodrome FinanceVELODROME

BrevisBREV

ZRX（0X）ZRX

Связанные с этим вопросы

QЧто такое «атака на основе ловушки (honeypot attack)», и как она была использована против MEV бота Jaredfromsubway.eth?

AАтака на основе ловушки (honeypot attack) — это метод, при котором злоумышленник создаёт привлекательную, но поддельную возможность для жертвы, в данном случае для MEV бота. В этой атаке злоумышленник использовал серию умных контрактов, включая координатор, триггер и поддельные пулы ликвидности, чтобы сконструировать кажущиеся прибыльными арбитражные возможности. Бот, обнаружив эти возможности, предоставлял разрешения (allowances) на крупные суммы токенов (USDC, USDT, WETH) поддельным контрактам. После получения разрешений атакующий смог напрямую вывести средства с адреса бота, что привело к убытку в размере более 7.5 миллионов долларов.

QВ чём заключалась ключевая уловка атаки для получения разрешений (allowances) от MEV бота?

AКлючевая уловка заключалась в различном поведении атакующего контракта для мелких и крупных транзакций. Для мелких арбитражных сделок контракт вёл себя «нормально»: после получения разрешения он немедленно использовал его (transferFrom), чтобы перевести реальные токены, создавая видимость законной операции. Однако для крупных сделок контракт не вызывал transferFor. Вместо этого он создавал («чеканил») поддельные токены внутри сконструированного пула. В результате MEV бот считал, что выполнил сделку и получил небольшую реальную прибыль, но при этом крупное разрешение на использование его реальных токенов оставалось активным и неизрасходованным для поддельного контракта, что позже позволило атакующему украсть средства.

QКакие основные этапы можно выделить в процессе атаки на примере сделки с USDC?

AПроцесс атаки на примере USDC состоял из следующих основных этапов: 1) Атакующий вызывал контракт-координатор, чтобы пометить текущий блок как «вооружённый» (armed). 2) Атакующий вызывал контракт-триггер, чтобы обновить состояние нескольких поддельных пулов ликвидности (Ring V2 pair), создав видимость выгодного арбитражного пути. 3) MEV бот обнаруживал эту возможность и выполнял транзакцию. Внутри транзакции бота происходило: а) предоставление крупного разрешения (approval) на USDC поддельному контракту; б) вызов функции wrap в поддельном контракте, который, увидев состояние «armed», не тратил реальные USDC, а чеканил поддельный токен, оставляя разрешение активным; в) продолжение обмена (swap) через поддельные пулы; г) получение небольшой суммы реальных USDC в качестве «прибыли» от хаба. Таким образом, бот оставался с активным и опасным разрешением.

QКуда были перемещены украденные средства после успешной атаки?

AПосле успешной атаки злоумышленник (адрес 0x3e37f4A10d771Ba9dE44b6d301410b1BEdeA65d0) получил $2.87 млн USDC, $2.04 млн USDT и 1,474 ETH. Затем стабильные монеты (USDC и USDT) были обменены на ETH. Общий объём ETH был распределён по четырём адресам: 0xe3Da36E4bd1a5738fa5D6Ef4F0e4dF40bDeB5f17 (около 1,000 ETH), 0x74Dc5b93586D248D5Aec64b3586736FF0A0D0e65 (1,001 ETH), 0xd8C125efCBc99408eC8723E9BBd81d1E8D39D845 (1,001 ETH) и 0x71d4416A7A85e08a5Fe7227Ca3B44Fc639e94e97 (1,423 ETH). Часть средств (1,000 ETH с первого адреса) была отправлена в миксер Tornado Cash. На момент публикации статьи средства на трёх других адресах не были перемещены далее.

QКакой главный вывод и рекомендация для операторов MEV ботов и арбитражных роботов следует из этого инцидента?

AГлавный вывод заключается в том, что для MEV ботов и арбитражных роботов недостаточно полагаться только на симуляцию прибыли при оценке безопасности сделки. Этот инцидент показал, что злоумышленники могут искусно манипулировать состоянием блокчейна, чтобы создать абсолютно реалистичные, но поддельные арбитражные пути. Ключевая рекомендация — проявлять повышенную осторожность при взаимодействии с незнакомыми контрактами, поддельными токенами или кастомными контрактами-обёртками (wrappers). Особенно важно внедрить обязательную проверку изменений в разрешениях (allowances) после каждой транзакции, чтобы немедленно выявлять и отменять неожиданно оставшиеся активные разрешения, которые могут представлять угрозу.

Похожее

Разбор исследовательского отчета: Intel надеется на Apple, чтобы вернуться в игру? Bernstein подсчитал, направление верное, но цена переоценена

Бернстейн анализирует потенциальное партнерство Intel и Apple в области производства чипов для ПК в США, инициированное заявлением Трампа. Хотя это сигнализирует о сдвиге в ландшафте производства полупроводников, краткосрочный финансовый эффект для Intel будет минимальным. По оценкам, даже при получении 40% заказов Apple на чипы для ноутбуков высокого класса, годовой доход Intel составит лишь около $500 млн, что незначительно на фоне её общих доходов в $55 млрд. Главная ценность сделки — это подтверждение доверия к производственным возможностям Intel (техпроцесс 18A) со стороны крупного клиента, что важно в контексте политики решоринга США. Однако путь от пилотного проекта до крупносерийного производства требует огромных капиталовложений и времени, а также подтверждения конкурентоспособности по затратам и стабильности поставок. Бернстейн сохраняет рейтинг «удерживать» и целевую цену в $100, указывая, что текущая цена акций (~$121) уже отражает оптимизм. Ключевыми факторами для наблюдения являются динамика доходов и маржи бизнеса Intel по контрактному производству, прогресс в техпроцессе 18A и привлечение других крупных клиентов.

marsbit3 мин. назад

Разбор исследовательского отчета: Intel надеется на Apple, чтобы вернуться в игру? Bernstein подсчитал, направление верное, но цена переоценена

marsbit3 мин. назад

27-летнее господство сменилось: капитализация SK Hynix впервые превысила Samsung, перестройка власти на корейском чиповом рынке под влиянием ИИ

22 июня 2026 года историческое событие потрясло южнокорейский фондовый рынок: SK Hynix впервые по рыночной капитализации обогнал Samsung Electronics, завершив 27-летнее господство последнего. Это кульминация ошеломляющего взлета компании, которая когда-то стояла на грани банкротства с долгами в $14 млрд. Основой этого превращения стала точная стратегическая ставка на HBM (высокопропускную память). С приходом эпохи ИИ эта некогда нишевая технология стала критически важным компонентом для обучения больших моделей (например, чипы NVIDIA требуют до 192 ГБ HBM). SK Hynix захватил лидерство на этом рынке с долей в 59%, что приносит колоссальную прибыль. В первом квартале 2026 года компания в среднем зарабатывала более 3 млрд юаней в день, а рентабельность ее бизнеса по HBM достигает 83%. В то время как SK Hynix сосредоточился на высокоприбыльном HBM, Samsung, с его широким портфелем (смартфоны, полупроводники, бытовая техника), столкнулся с проблемами: отставание в разработке HBM, падение доли на рынке смартфонов и сложности в литейном бизнесе. Рост SK Hynix символизирует более глубокие изменения: переход южнокорейской экономики от драйвера в виде потребительской электроники к драйверу в виде инфраструктуры ИИ, а всей индустрии памяти — от цикличных товаров к специализированным продуктам с высокой добавленной стоимостью. Однако лидерство SK Hynix не гарантировано. Ожидается, что после 2028 года, когда новые мощности конкурентов выйдут на рынок, конкуренция в сегменте HBM резко обострится. Таким образом, смена чемпиона на корейском рынке знаменует новую главу в глобальной реструктуризации полупроводниковой отрасли, движимой ИИ.

marsbit14 мин. назад

27-летнее господство сменилось: капитализация SK Hynix впервые превысила Samsung, перестройка власти на корейском чиповом рынке под влиянием ИИ

marsbit14 мин. назад

Marvell официально включена в индекс S&P 500: веха на волне ИИ или начало нового испытания?

2026年6月 22 日 Marvell Technology (MRVL) стала частью индекса S&P 500. Это событие отражает признание компании как ключевого поставщика для инфраструктуры центров обработки данных эпохи ИИ, а не просто как традиционного разработчика чипов для коммуникаций и хранения данных. Ранее на включение в индекс влияла нестабильность прибыли Marvell. Сдвиг произошел благодаря ее трансформации, движимой спросом на технологии ИИ. Ключевыми драйверами роста стали: * **Пользовательские ASIC-чипы:** Разработка специализированных процессоров для крупных облачных провайдеров. * **Сетевые чипы для ЦОД:** Обеспечение высокоскоростной и низколатентной связи внутри кластеров ИИ. * **Оптические решения:** Технологии для высокоскоростных соединений, критичных для крупномасштабных кластеров. Включение в S&P 500 привлечет пассивные инвестиции и повысит узнаваемость среди институциональных инвесторов. Однако это также означает повышенные требования к стабильности роста и прибыльности. Рост акций Marvell отражает не только это событие, но и ожидания рынка от ее участия в буме инвестиций в ИИ-инфраструктуру. В конечном счете, для Marvell будущее определит не сам факт попадания в индекс, а способность превратить потенциал в сфере ИИ в устойчивые финансовые результаты. Основное внимание будет приковано к выполнению обещаний по росту доходов от ASIC, сетевых и оптических решений.

marsbit15 мин. назад

Marvell официально включена в индекс S&P 500: веха на волне ИИ или начало нового испытания?

marsbit15 мин. назад

Рост более 130% за месяц, стабильно лидирует по потреблению Blob в Ethereum. Насколько реальный рост World Chain?

За последний месяц стоимость токена Worldcoin (WLD) выросла более чем на 130%, что связано с ажиотажем вокруг сектора ИИ, поддержкой со стороны институциональных инвесторов и ожиданиями изменения экономики токена, которое сократит ежедневную эмиссию. Несмотря на то, что экосистема World Chain остается относительно молодой с небольшим общим объемом заблокированных средств (TVL), активность в сети резко возросла. Количество активных адресов за 30 дней увеличилось на 649%, а TVL сети превысил $6,1 млрд, в основном за счет притока средств через мосты. Примечательно, что World Chain стал вторым по величине потребителем Blob в сети Ethereum (после Base), стабильно отправляя большие объемы данных, что свидетельствует о высокой частоте транзакций. Это обусловлено миллионами реальных пользователей World ID, которые используют цепочку для проверки личности, получения субсидий на газ и вознаграждений. Однако ключевой задачей для долгосрочного успеха World Chain остается преобразование привлеченного капитала в активную ликвидность и устойчивую экономическую деятельность в собственной экосистеме, выходящую за рамки базовых транзакций.

marsbit35 мин. назад

Рост более 130% за месяц, стабильно лидирует по потреблению Blob в Ethereum. Насколько реальный рост World Chain?

marsbit35 мин. назад

Почему «крестный отец AGI» Бен Герцель считает, что будущее искусственного интеллекта зависит от блокчейна?

Сооснователь SingularityNET и известный исследователь ИИ Бен Гёрцель, называемый «крестным отцом ИИГ» (искусственного общего интеллекта), утверждает, что будущее ИИ зависит от блокчейна. Он считает, что ключевой код ИИГ должен быть открытым и децентрализованным, чтобы избежать монополизации несколькими компаниями, такими как OpenAI или Anthropic. Гёрцель подчеркивает, что одного открытого кода недостаточно — необходима децентрализованная вычислительная инфраструктура, чтобы любой мог запускать систему, а не только обладатели дорогих серверов. Его проект SingularityNET использует блокчейн и токены для создания открытой сети, на которой могут размещаться ИИ-агенты. Он критикует бывших сторонников открытого ИИ, таких как Илон Маск и Сэм Олтман, которые перешли к закрытым разработкам. В качестве успешного примера открытой модели он приводит Linux и интернет. План Гёрцеля включает создание экономики автономных ИИ-агентов, которые смогут выполнять задачи и проводить транзакции для пользователей в децентрализованной сети. SingularityNET планирует выпустить коммерческие продукты (например, подписку уровня «Pro»), работающие на блокчейн-бэкенде, при этом сохраняя базовый код ИИГ открытым. Гёрцель верит, что человеческий уровень ИИГ будет достигнут до 2030 года, и опасается, что контроль над ним корпорациями усилит социальное неравенство. Его подход предлагает альтернативу — открытую, демократизированную экосистему ИИ. Первым практическим шагом станет выпуск автономного агента Omega Claw в ближайшие недели.

Foresight News44 мин. назад

Почему «крестный отец AGI» Бен Герцель считает, что будущее искусственного интеллекта зависит от блокчейна?

Foresight News44 мин. назад

Торговля

Спот

Фьючерсы

Обсуждения

Добро пожаловать в Сообщество HTX. Здесь вы сможете быть в курсе последних новостей о развитии платформы и получить доступ к профессиональной аналитической информации о рынке. Мнения пользователей о цене на ETH (ETH) представлены ниже.