Yoink नाम का एक MEV बॉट ने लगभग $47,000 की गैस भुगतान करके $7.8 मिलियन के दोहन को प्री-रन किया, जिससे हमलावर के पास कुछ भी नहीं बचा और वॉलेट मालिक अभी भी खाली हो गया। लेन-देन क्रम-क्रम निर्णय निकालना एक तीसरा शिकारी बन गया है, और चोरों से तार्किक प्रतिक्रिया निजी होना है।
मुख्य बातें
- एक हमलावर ने एक Safe स्मार्ट-अकाउंट वॉलेट पर वॉलेट मालिक द्वारा सफ़्फ़-लिस्ट किए गए एक कस्टम Multicall हेल्पर मॉड्यूल में गलत कॉन्फ़िगर किए गए ऑथराइज़ेशन चेक का फ़ायदा उठाया, जिससे लगभग $7.8 मिलियन के rsETH को खाली करने की कोशिश की गई।
- एक मैक्सिमल एक्सट्रैक्टिव वैल्यू बॉट जिसका नाम Yoink है, ने इस एक्सप्लॉइट को फ्रंट-रन किया, पहली बार समान हमला करने के लिए लगभग $47,000 का गैस भुगतान किया और 2,882 rsETH प्राप्त किए।
- हमलावर ने कुछ नहीं कमाया, वॉलेट मालिक को फंड खोने पड़े, और बॉट ने उन्हें रख लिया, जबकि Blockaid, BlockSec, SlowMist, और PeckShield ने घटना को रीयल टाइम में मॉनिटर किया लेकिन हस्तक्षेप नहीं कर सके।
- यह एक बॉट के दिन बचाने की कहानी नहीं है। यह दिखाता है कि ट्रांज़ैक्शन-ऑर्डरिंग एक्सट्रैक्शन एक तीसरा शिकारी बन गया है, और शिकार को यह पता नहीं होता कि कौन जीतता है।
15 सितंबर 2026 की सुबह, एक हमलावर ने एक वास्तविक Ethereum वॉलेट में एक वास्तविक कमज़ोरी खोजी और एक तकनीकी रूप से साफ़ $7.8 मिलियन का एक्सप्लॉइट किया। उन्होंने कुछ भी नहीं ले पाए। एक बॉट जिसका नाम Yoink है, ने ट्रांज़ैक्शन आते देख लिया, लगभग $47,000 के गैस के लिए इसे फ्रंट-रन किया और पूरा लूट ले लिया। एकमात्र पक्ष जो निश्चित रूप से सब कुछ खो बैठा, वह वॉलेट मालिक था, जो अगर हमलावर पहले सफल होता तो सब कुछ खो बैठता।
MEV क्या है, और यह हमलावर को सब कुछ क्यों खो दिया?
MEV, अधिकतम निकाली जा सकने वाली मूल्य, वह लाभ है जो कोई प्रोग्राम ब्लॉक में कौन‑से लेन‑देन प्रवेश करेंगे और किस क्रम में, यह तय करके पकड़ सकता है। एथेरियम में सबमिट किया गया लेन‑देन सार्वजनिक कतार, मेमपूल, में तब तक इंतजार करता है जब तक कोई वैलिडेटर उसे उठाता नहीं है। हर कोई देख सकता है कि उस कतार में क्या है। एक MEV बॉट इसे देखता है, वह लेन‑देन पहचानता है जो लाभ देगा, और अधिक गैस टिप के साथ उसकी एक कॉपी सबमिट करता है ताकि उसका संस्करण पहले पहुँच जाए।
हमलावर ने एक महँगी गलती की: एक्सप्लॉइट को सार्वजनिक मेमपूल में प्रसारित किया गया। उस क्षण से नेटवर्क पर हर MEV बॉट लेन‑देन को प्रगति में देख सकता था। Yoink ने इसे सिमुलेट किया, निष्कर्ष निकाला कि यह 2,882 rsETH को लगभग $7.8 मिलियन के बराबर ले जाएगा, और गणना की। $47,000 गैस का भुगतान करके, जो मूल्य का लगभग 0.6 प्रतिशत है, शेष 99.4 प्रतिशत को पकड़ना कोई कठिन व्यापार नहीं है।
मूलभूत कमजोरी एक कस्टम Multicall हेल्पर मॉड्यूल में गलत कॉन्फ़िगर किया गया प्राधिकरण जांच थी, जिसे वॉलेट मालिक ने Safe वॉलेट पर व्हाइटलिस्ट किया था। जांच ने कॉलर की पहचान के बजाय गंतव्य पते की पुष्टि की, इसलिए जो भी मॉड्यूल को स्वयं लक्ष्य के रूप में नामित करता था, उसे पूर्ण निष्पादन अधिकार मिल जाता था। हमलावर ने वॉलेट के aEthrsETH, जो Kelp DAO के rsETH का Aave‑रैप्ड संस्करण है, को एक दुर्भावनापूर्ण Uniswap v4 पूल के माध्यम से एक कस्टम हुक के साथ रूट किया जो टोकन को अनरैप और निकाल देता था। एक्सप्लॉइट वास्तविक था। इसके लेखक बस बहुत धीमे थे।
जब बॉट हमलावर को मात देता है तो कौन जीतता है?
इस घटना में सबसे ईमानदार चीज़ स्कोरबोर्ड है। वॉलेट मालिक ने $7.8 मिलियन खो दिए। हमलावर ने गैस शुल्क खो दिया और कुछ नहीं पाया। Yoink ने 2,882 rsETH को अपने पते पर भेजा। किसी ने किसी की मदद नहीं की। बॉट ने न तो हमला रोका, न वॉलेट मालिक को सतर्क किया, न कानून प्रवर्तन से संपर्क किया। उसने वही एक्सप्लॉइट तेज़ी से चलाया और आय रख ली।
कहानी का संतोषजनक संस्करण, जिसमें एक हमलावर का बॉट द्वारा हराया जाना, पीड़ित के बैलेंस के संपर्क में आने पर टिकता नहीं है। वॉलेट मालिक के लिए परिणाम समान है, चाहे धन का निकासी किसी व्यक्ति या किसी प्रोग्राम द्वारा किया जाए। पैसा चला गया है, और एकमात्र बदलाव यह है कि अब कौन-सा अज्ञात पता इसे धारण कर रहा है। स्वचालित संस्करण संभवतः बदतर है, क्योंकि यह मूल्य के हस्तांतरण को बाज़ार दक्षता की एक पतली परत में लपेट देता है।
दूसरे-स्तरीय प्रभाव पहले से अधिक काले हैं। हमलावरों ने सीखा है कि एक एक्सप्लॉइट को सार्वजनिक मेमपूल में प्रकाशित करने से एक तेज़ नक़लदार को आमंत्रित किया जाता है। तर्कसंगत प्रतिक्रिया निजी होना है, निजी मेमपूल और ब्लॉक बिल्डरों को सीधे सबमिशन का उपयोग करके, जो एक लेनदेन को छिपाते हैं जब तक कि वह पहले से ही ब्लॉक में न हो जाए। इससे अगली पीढ़ी के हमलों को कम दृश्यमान, ट्रेस करने में कठिन और पूर्ण रूप से सफल होने की अधिक संभावना देता है। इस घटना ने चेन को सुरक्षित नहीं बनाया। इसने चोरों को चुप रहना सिखाया।
अंधेरे जंगल में एक तीसरा शिकारी उभरा है
यह उपमा एक व्यापक रूप से उद्धृत 2020 की शोध निबंध से आती है, जिसने एक बॉट द्वारा अलगाव वाले धन के पुनर्प्राप्ति प्रयास को फ्रंट-रन करने के बाद इथेरियम को एक अंधेरा जंगल के रूप में वर्णित किया था। निबंध ने एक विरोधी वातावरण का वर्णन किया जिसमें खुले में छोड़ा गया कोई भी मूल्यवान तुरंत शिकार किया जाता है। फ्लैशबॉट्स इस प्रतिक्रिया में बना: एक निजी चैनल जो लेनदेन को सार्वजनिक मेमपूल से बाहर रखता है, और यह स्वीकारोक्ति कि सार्वजनिक मेमपूल पहले से ही एक विवादित क्षेत्र बन चुका है।
2026 में क्या बदला, वह पदानुक्रम है। वर्षों तक MEV बॉट्स ने मुख्य रूप से संकीर्ण, रक्षात्मक कार्य किए: विकेंद्रीकृत एक्सचेंजों के बीच आर्बिट्रेज, अल्प-सुरक्षित ऋणों का तरलताकरण, और बड़े लेनदेन का बैक-रनिंग। ये गतिविधियां क्रूर हैं लेकिन व्यापक रूप से तटस्थ हैं, जो कीमतों को संरेखित रखती हैं और प्रणाली से बुरे ऋण को बाहर निकालती हैं। Yoink अलग व्यवहार करता है। यह एक वैध लेनदेन और एक आपराधिक एक्सप्लॉइट के बीच अंतर नहीं करता है। यह लाभ देखता है और उसे ले लेता है। यह बाज़ार दक्षता नहीं है; यह शिकार और अन्य शिकारियों दोनों को खपत करने वाला कचरा-खाना है।
इस बॉट का इतिहास है। एक फ्रंट-रनर जिसने उसी नाम का उपयोग किया, ने अगस्त 2024 में Ronin ब्रिज एक्सप्लॉइट को फ्रंट-रन किया, $10 मिलियन से अधिक प्राप्त किया, फिर उसका अधिकांश हिस्सा लौटा दिया और $500,000 को बग बॉन्टी के रूप में रख लिया, जिससे उसे एक विनम्र समुद्री डाकू की कमाई हुई। इस बार विनम्रता का कोई संकेत नहीं है। शर्तें आंशिक लौटाव और शुल्क से पूरे राशि तक बढ़ गई हैं।
�ऑन-चेन ऑपरेटर्स के लिए इसका क्या अर्थ है
कीमत की बातें हटा दें और ऑपरेशनल तस्वीर साफ है। ऑन-चेन सक्रिय कोई भी व्यक्ति एक साथ दो चीजों से बचाव कर रहा है, एक्सप्लॉइट और एक्सट्रैक्शन, और दोनों खतरे अब एक ही मुखौटा पहनते हैं। एक्सप्लॉइट ही एकमात्र जोखिम नहीं है। फ्रंट-रन है।
यह बदल देता है कि एक गंभीर DeFi ऑपरेशन को कैसे व्यवहार करना चाहिए। किसी भी लेनदेन के लिए प्राइवेट रिले या एन्क्रिप्टेड मेमपूल का उपयोग करें जो लैंड करते ही सार्थक मूल्य उत्पन्न करे। स्मार्ट-अकाउंट वॉलेट से जुड़े हर कस्टम मॉड्यूल, हुक, या हेल्पर कॉन्ट्रैक्ट का ऑडिट करें, क्योंकि वह कोड उन सभी चीजों की कुंजी रखता है जिन्हें वॉलेट नियंत्रित करता है और एक दोषपूर्ण जांच ही काफी है। मान लें कि सार्वजनिक रूप से प्रसारित कोई भी बड़ा या स्वचालित ऑपरेशन एक ऐसे प्रोग्राम द्वारा कॉपी किया जाएगा जो तेज है और इस बात के प्रति उदासीन है कि पैसे रखने का हकदार कौन है।
सुरक्षा उद्योग की भूमिका समान जांच की हकदार है। चार फर्मों, Blockaid, BlockSec, SlowMist, और PeckShield ने इस एक्सप्लॉइट का रियल टाइम में पता लगाया। उनमें से कोई भी इसे रोक नहीं सका, उलट नहीं सका, या वॉलेट मालिक के लिए फंड रिकवर नहीं कर सका। हस्तक्षेप के बिना डिटेक्शन, अंतिम उपयोगकर्ता के लिए, एक सुरक्षा उत्पाद के बजाय एक निगरानी उत्पाद है।
यह कहाँ जा रहा है
एक से तीन वर्षों में प्रक्षेपवक्र खींचना आसान है। प्राइवेट और एन्क्रिप्टेड मेमपूल किसी भी व्यक्ति के लिए डिफॉल्ट बन जाते हैं जिसके पास भौतिक मूल्य है, जो MEV को ऑपरेटर्स के एक सिकुड़ते दायरे में केंद्रित करता है जिनके पास उन्हें चलाने का इंफ्रास्ट्रक्चर है। यह एक्सट्रैक्शन उद्योग को समेकित करता है बजाय इसे खत्म करने के: शुल्क लेने वाले मध्यस्थों की एक छोटी संख्या, वह संरचना जिसे ब्लॉकचेन हटाने के लिए बने थे। नियामक अंततः स्पष्ट प्रश्न पर पहुंचेंगे। यदि एक प्रोग्राम चोर से तेज होने के कारण $7.8 मिलियन निकालता है, तो क्या वह चोरी है या बाजार? उत्तर तय करेगा कि MEV को वैध इंफ्रास्ट्रक्चर माना जाता है या स्वचालित फ्रंट-रनिंग।
इस बीच पीड़ित सुरक्षा में अंतर बढ़ता जा रहा है। प्रगति की हर परत, तेज़ बॉट्स, निजी मेमपूल, अधिक जटिल स्मार्ट-अकाउंट मॉड्यूल, सामान्य उपयोगकर्ता को कठिन लक्ष्य के बजाय आसान लक्ष्य बनाते हैं। शिकारी तेज़ होते जा रहे हैं और शिकार का बचाव करना अधिक महंगा होता जा रहा है।
वह प्रश्न जिससे क्षेत्र बचता रहता है
यह घटना एक ऐसा प्रश्न खड़ा करती है जिसका उत्तर उद्योग देना पसंद नहीं करता। यदि एक बॉट चोर से तेज़ होकर वॉलेट मालिक से $7.8 मिलियन ले सकता है, तो बॉट और हमलावर में क्या अंतर है? गति? गुमनामी? कीबोर्ड पर मानव हाथ की अनुपस्थिति? उनमें से कोई भी नैतिक अंतर नहीं है। वे केवल सतही अंतर हैं।
MEV को एक दशक से पारदर्शी, अनुमति-रहित बाजार की अनिवार्य कीमत के रूप में उचित ठहराया गया है। बिना नरम फोकस के वह औचित्य ऐसा दिखता है: मूल्य का एक स्वचालित हस्तांतरण जिसे चतुराई माना जाता है क्योंकि उसका पीड़ित भी अपराधी था। पीड़ित कभी हमलावर नहीं था। पीड़ित वह पक्ष था जिसने किसी भी स्थिति में $7.8 मिलियन गंवाए, और अब उससे अपेक्षा की जाती है कि वह धन रखने वाले बॉट के साथ इनाम पर बातचीत करे, क्योंकि विकल्प कुछ भी नहीं है।
काला जंगल परवाह नहीं करता कि आप कौन हैं। यह और गहरा होता जा रहा है।
FAQ: MEV बॉट क्या है?
एक MEV बॉट एक स्वचालित प्रोग्राम है जो एथेरियम मेमपूल, लंबित लेनदेन की सार्वजनिक कतार, को देखता है और अधिक गैस शुल्क का भुगतान करके लाभदायक लेनदेन को फ्रंट-रन करता है ताकि इसकी कॉपी पहले प्रोसेस हो। इस मामले में बॉट ने 15 सितंबर, 2026 को एक एक्सप्लॉइट को फ्रंट-रन किया और लगभग $7.8 मिलियन rsETH कैप्चर किए।
FAQ: क्या वॉलेट मालिक को फंड वापस मिले?
घटना के अनुसार, नहीं। 2,882 rsETH Yoink ऑपरेटर द्वारा नियंत्रित एक पते पर है, और रिकवरी की कोई सार्वजनिक पुष्टि नहीं हुई है। रिकवरी का यथार्थवादी रास्ता ऑपरेटर को बाउंटी की पेशकश करते हुए ऑन-चेन बातचीत है, वही रास्ता जो 2024 रोनिन ब्रिज फ्रंट-रन के बाद अपनाया गया था।
FAQ: क्या बॉट ने जो किया वह कानूनी है?
यह कानूनी रूप से अनसुलझा है। चोरी की संपत्ति को इंटरसेप्ट करने से इंटरसेप्टर को स्वचालित रूप से स्वामित्व नहीं मिलता, और अधिकांश कानूनी प्रणालियों में फंड अभी भी मूल पीड़ित के हैं। एक सार्वजनिक ब्लॉकचेन पर एक अनाम प्रोग्राम के खिलाफ दावे को लागू करना, व्यवहार में, लगभग असंभव है।
FAQ: क्या Safe या Kelp DAO दोषी थे?
नहीं। कमज़ोरी Safe वॉलेट में वॉलेट मालिक द्वारा जोड़ी गई एक कस्टम Multicall हेल्पर मॉड्यूल में थी, Safe के कोर कॉन्ट्रैक्ट्स या rsETH में नहीं। Kelp DAO ने कहा कि rsETH पूरी तरह से कॉलेटराइज्ड है और केवल एक प्रभावित पते को सावधानी के तौर पर रोक दिया गया है।
FAQ: उपयोगकर्ता फ्रंट-रन होने से कैसे बच सकता है?
ऐसी लेन-देन के लिए प्राइवेट रिले या एन्क्रिप्टेड मेमपूल का उपयोग करें जो लैंड होने पर मूल्य पैदा करती हैं, स्मार्ट-कॉन्ट्रैक्ट वॉलेट से जुड़े हर कस्टम मॉड्यूल का ऑडिट करें, और यह मान लें कि कोई भी सार्वजनिक लेन-देन जो लैंड होने पर लाभ पैदा करता है, उसे एक तेज़ प्रोग्राम द्वारा कॉपी किया जाएगा।