Egy villámgyors, mindössze 12 másodperces támadás során 25 millió dollárnyi kriptovalutát emeltek el egy állítólagosan hónapok óta előkészített, technikailag kifinomult műveletben. A gyanú szerint a két, Massachusetts Institute of Technology-n (MIT) végzett testvér egy Ethereum-alapú protokoll sérülékenységét használta ki — és most súlyos büntetéssel néznek szembe. A New York-i szövetségi bíróságon a héten megkezdődött a szenzációs per, amely már most komoly figyelmet keltett a kriptoiparban.
Egy 12 másodperces támadás hónapok tervezésének gyümölcse
Kik az érintettek?
A vád szerint Anton és James Peraire-Bueno, testvérek és MIT-n végzett programozók, hónapokon át készítették elő a „Omakase” fedőnevű műveletet, amelynek során egy Ethereum blokklánc-alapú protokoll, az úgynevezett MEV-Boost sérülékenységét használták ki. A céljuk az volt, hogy kiforgassák a rendszerből azokat a kereskedési botokat, amelyek mások tranzakciói köré építik saját haszonszerzési stratégiáikat — ezeket hívják szendvics botoknak (sandwich bots).
Mit is jelent a MEV-Boost és a szendvics botok szerepe?
A MEV (Maximal Extractable Value) olyan többletértéket jelent, amelyet egy blokklánc-validátor vagy bányász tud kivonni azáltal, hogy manipulálja a tranzakciók sorrendjét egy adott blokkban. A MEV-Boost egy olyan nyílt forráskódú rendszer, amely lehetővé teszi, hogy a validátorok külső blokkszerkesztőktől (block builder) kapjanak előre elkészített blokkokat, amelyek már tartalmazzák a lehető legnagyobb kinyerhető értéket.
A szendvics támadás klasszikus példája, amikor egy bot érzékeli, hogy egy nagy volumenű vételi megbízás van folyamatban, és előtte vásárol, majd utána elad — ezzel kihasználva az árfolyammozgást, amit maga a nagybefektető okoz.
A testvérpár azonban ezt a stratégiát fordította visszájára.
Az „Omakase” hadművelet: célzott támadás szendvics botok ellen
Mi volt a terv lényege?
A tanúvallomások szerint a Peraire-Bueno testvérek hosszasan tanulmányozták a szendvics botok működését, hogy aztán nyolc „csaliként” használt tranzakciót hozzanak létre. Ezeket úgy tervezték meg, hogy odavonzzák a botokat. Amint a botok „harapásra” készen beálltak a tranzakciók köré, a testvérek manipulálták a blokksorrendet, így kifacsarva a botok által elhelyezett összegeket.
Az eljárás során kihasználták, hogy Ethereum validátorként korábban láthatták a beérkező tranzakciókat, így idő előtt újrarendezték azokat saját javukra.
Sikeres volt a támadás?
Igen. A vádirat szerint a támadást 2023. április 2-án hajtották végre, és 12 másodpercen belül körülbelül 25 millió dollárnyi kriptovalutát szereztek meg. A terv egyik volt résztvevője, Travis Chen — aki maga is elismerte, hogy részesedésért cserébe együttműködött — azt vallotta, hogy már egy 2022 decemberi megbeszélésen is szó esett az akció léptékéről. Akkor a jegyzetei szerint a testvérek úgy becsülték, hogy „a művelet mérete óriási”, és akár „6 millió dollárt is kivehetnek egyetlen lépésben”.
Jog és etika határán: kihasználás vagy bűncselekmény?
Mit mond a védelem?
A testvérek tagadják a bűncselekményt. Védőik szerint a cselekmény inkább egy technikai kihasználás, semmint törvénytelen tett. Ráadásul a védelem arra is hivatkozik, hogy Travis Chen korábban több alkalommal is úgy nyilatkozott a hatóságoknak, hogy nem gondolta illegálisnak a támadást, amikor az megtörtént.
Gyanús Google-keresések és válaszkísérletek
A vád szerint a testvérek több keresést is végeztek a támadás után, például: „hogyan lehet tisztára mosni a kriptót” vagy „legjobb kriptós ügyvédek”. Ezeket azonban a védelem szerint jogi tanácsadás előtti, bizalmas időszakban végezték, így nem felhasználhatók a perben.
A Flashbots nevű szervezet — amely a MEV-Boost fejlesztője — szintén tanúskodott. Egyik mérnökük, Robert Miller szerint a támadók később névtelenül megkeresték őt, és azt ajánlották, hogy ne nevezze „kihasználásnak” (exploit) a történteket, cserébe megosztanak vele egy hasonló stratégia részleteit. Miller végül elfogadta a javaslatot.
Fontos kiemelni, hogy a Flashbots a támadás után 24 órán belül javította a szoftver sebezhetőségét.
Tanulságok és következmények: mit üzen ez a kriptopiac számára?
Technológiai előny vagy bűncselekmény?
A kriptovaluta-piac egyik legnagyobb kérdése az ilyen esetek után mindig az, hogy hol húzódik a határ a „smart trading” és a „bűncselekmény” között. Az MEV és a szendvics stratégiák technikai szempontból nem illegálisak, viszont etikailag rendkívül vitatottak.
Ebben az esetben viszont a támadás nem csupán a rendszer logikájára épült, hanem egy technikai sebezhetőséget használt ki — ezt már több jogi szakértő is súlyosbító tényezőként értékeli.
Mi következik ezután?
A testvérpárt huzalozási csalás (wire fraud) és pénzmosásban való bűnszövetség vádjával állították bíróság elé, amelyek egyenként akár 20 év börtönbüntetéssel is sújthatók. A per még folyamatban van, de a kriptoipar már most figyelmeztetésként tekint az esetre: nem csak a kód, hanem a szándék is számít.
Összegzés:
Ez az ügy újra felhívja a figyelmet a kriptovaluta-piac szabályozatlanságából fakadó kihívásokra. Miközben a technikai tudás valóban hatalom, a szándék és az etika kérdései egyre fontosabb szerepet kapnak egy olyan iparágban, ahol a másodpercek és a kódok milliárdokat mozgathatnak.
A következő hónapokban várhatóan még több részlet lát napvilágot a bírósági tárgyalás során — és az ítélet messzemenő hatással lehet a jövőbeni szabályozásokra is.
