Neste fim de semana, identificamos um problema na API do Relay que expunha informações de trades pendentes antes da execução. Searchers de MEV aproveitaram essa falha para fazer sandwich attacks, piorando os preços para quem operava pelo Relay.
O MEV é um desafio constante nos mercados onchain. Nenhuma solução isolada consegue eliminá-lo. Embora não tenhamos atingido o padrão que exigimos de nós mesmos desta vez, vamos continuar trabalhando para tornar as operações onchain seguras, confiáveis e acessíveis.
O que aconteceu
- Essa atividade ocorreu entre 12 e 26 de setembro, com a maior parte concentrada entre os dias 23 e 26.
- Os searchers usaram os status de rota pendentes para deduzir as rotas onchain e se antecipar às ordens antes da execução, extraindo cerca de US$ 136 mil em lucro.
- Aproximadamente 5.600 usuários foram afetados, com um impacto mediano de US$ 11,88.
Compensação
- Estamos pagando uma recompensa de US$ 50 mil para @Outputlayer por reportar o problema.
- Vamos compensar diretamente os usuários afetados por este incidente. Não é necessário solicitar nada: os valores serão enviados automaticamente para a sua carteira.
- O total de compensações será de aproximadamente US$ 312 mil.
O desafio mais amplo
Criamos o Relay porque acreditamos que os mercados onchain devem ser simples, acessíveis e seguros. Você não deveria precisar entender mempools, roteamento ou MEV para operar com tranquilidade. Tornar isso possível significa enfrentar a complexidade e os riscos por trás de cada trade, e não apenas simplificar a interface.
O MEV se manifesta de várias formas. Atacantes podem explorar transações em mempools públicas, deduzir operações a partir dos detalhes das ordens, participar de leilões de forma maliciosa ou encontrar brechas na forma como os dados trafegam entre provedores. Proteger apenas uma parte do caminho não basta se informações sensíveis estiverem expostas em outro ponto. Os métodos de ataque evoluem, e as proteções precisam evoluir junto. Esse é um desafio contínuo que queremos encarar: elevar o padrão de qualidade de execução e privacidade em todo o percurso de um trade.
Embora seja nossa responsabilidade monitorar e mitigar problemas, pesquisadores de segurança podem ajudar. Se você identificar uma vulnerabilidade, reporte-a.
Nosso objetivo continua o mesmo: melhor execução, mais privacidade e uma experiência mais simples para todos que usam o Relay.
