Neste fim de semana, identificamos um problema na API do Relay que expunha informações de trades pendentes antes da execução. Searchers de MEV aproveitaram essa falha para fazer sandwich attacks, piorando os preços para quem negociava pelo Relay.
O MEV é um desafio constante nos mercados onchain. Nenhuma solução isolada consegue eliminá-lo. Embora não tenhamos atingido o padrão esperado desta vez, vamos continuar trabalhando para tornar as negociações onchain seguras, confiáveis e acessíveis.
O que aconteceu
- Essa atividade ocorreu entre 12 e 26 de setembro, com a maior parte concentrada entre os dias 23 e 26.
- Os searchers usaram os status de rota pendentes para deduzir as rotas onchain e negociar à frente das ordens antes da execução, extraindo cerca de US$ 136 mil em lucro.
- Cerca de 5.600 usuários foram afetados, com um impacto mediano de US$ 11,88.
Compensação
- Estamos pagando uma recompensa de US$ 50 mil para @Outputlayer por ter reportado o problema.
- Vamos compensar diretamente os usuários afetados por este incidente. Não é necessário solicitar nada: os valores serão enviados automaticamente para a sua carteira.
- O total da compensação é de aproximadamente US$ 312 mil.
O desafio mais amplo
Criamos o Relay porque acreditamos que os mercados onchain devem ser simples, acessíveis e seguros. Você não deveria precisar entender mempools, roteamento ou MEV para negociar com tranquilidade. Tornar isso possível significa enfrentar a complexidade e os riscos por trás de cada trade, e não apenas simplificar a interface.
O MEV se manifesta de várias formas. Atacantes podem explorar transações em mempools públicas, deduzir negociações a partir dos detalhes das ordens, participar de leilões de forma maliciosa ou encontrar brechas na maneira como os dados trafegam entre provedores. Proteger apenas uma parte do caminho não basta se informações sensíveis estiverem expostas em outro ponto. Os métodos de ataque evoluem, e as proteções precisam evoluir junto. Esse é um desafio contínuo que queremos encarar: elevar o padrão de qualidade de execução e privacidade em todo o percurso de um trade.
Embora seja nossa responsabilidade monitorar e mitigar problemas, pesquisadores de segurança podem ajudar. Se você identificar uma vulnerabilidade, reporte-a.
Nosso objetivo continua o mesmo: melhor execução, mais privacidade e uma experiência mais simples para todos que usam o Relay.
