Este fin de semana detectamos un problema en la API de Relay que exponía información sobre operaciones pendientes antes de su ejecución. Los buscadores de MEV lo aprovecharon para hacer sandwich attacks a las operaciones, empeorando los precios para quienes operaban a través de Relay.
El MEV es un desafío constante en los mercados onchain. Ninguna solución por sí sola puede eliminarlo. Aunque esta vez no estuvimos a la altura, seguiremos trabajando para que operar onchain sea seguro, confiable y accesible.
Qué ocurrió
- Esta actividad se produjo entre el 12 y el 26 de septiembre, concentrándose principalmente del 23 al 26 de septiembre.
- Los buscadores utilizaron los estados de ruta pendientes para deducir las rutas onchain y anticiparse a las órdenes antes de su ejecución, obteniendo aproximadamente 136 000 USD en ganancias.
- Alrededor de 5600 usuarios se vieron afectados, con un impacto medio de 11,88 USD.
Compensación
- Estamos pagando una recompensa de 50 000 USD a @Outputlayer por reportarlo.
- Compensaremos directamente a los usuarios afectados por este incidente. No tienes que reclamar nada: los fondos se enviarán automáticamente a tu wallet.
- La compensación total asciende a unos 312 000 USD.
El desafío general
Creamos Relay porque creemos que los mercados onchain deberían ser simples, accesibles y seguros. No deberías tener que entender qué son las mempools, el enrutamiento o el MEV para operar con confianza. Lograrlo implica afrontar la complejidad y los riesgos detrás de cada operación, no solo simplificar la interfaz.
El MEV adopta muchas formas. Los atacantes pueden explotar transacciones en mempools públicas, deducir operaciones a partir de los detalles de las órdenes, participar de forma maliciosa en subastas o encontrar brechas en cómo se mueven los datos entre proveedores. Proteger una parte del recorrido no basta si la información sensible queda expuesta en otra. Los métodos de ataque evolucionan, y las protecciones deben evolucionar con ellos. Este es un desafío continuo que queremos asumir: elevar el estándar de calidad de ejecución y privacidad en todo el recorrido de una operación.
Aunque monitorear y mitigar problemas es nuestra responsabilidad, los investigadores de seguridad pueden ayudar. Si detectas alguna vulnerabilidad, repórtala.
Nuestro objetivo sigue siendo el mismo: mejor ejecución, mayor privacidad y una experiencia más simple para todos los que usan Relay.
