Sandwich Attack là gì? Tìm hiểu ‘Tấn công Sandwich’ trong DeFi

Bối cảnh tài chính phi tập trung trong vũ trụ tiền điện tử mang lại nhiều cơ hội cho chủ sở hữu tiền điện tử, nhưng nó rất dễ bị các loại tấn công hoặc đình công mạng.

Việc khai thác các hợp đồng thông minh (smart contract) là mối quan tâm thường xuyên đối với các nhà đầu tư khi bọn tội phạm lợi dụng các lỗ hổng trong hệ thống mã DeFi, dẫn đến các cuộc tấn công cho vay nhanh (Flash Loan Attack), kéo tấm thảm (rug pull) và gần đây là các cuộc tấn công cay đắng – Sandwich Attack.

Chắc hẳn người ta chưa nghe nhiều về Cuộc tấn công Sandwich vì chúng là mốt mới trong thị trấn tiền điện tử và chưa trở nên phổ biến như một mối đe dọa mạng.

Tuy nhiên, Sandwich Attack có thể gây ra các tình huống khá rắc rối trong lĩnh vực tài chính phi tập trung (DeFi). Ngay cả cha đẻ của Ethereum Vitalik Buterin cũng cảnh báo về chúng. Người đồng sáng lập Ethereum đã cảnh báo về chúng vào năm 2018.

Khi nói đến nhiều vectơ tấn công trong công nghệ, điều quan trọng là phải hiểu khái niệm cơ bản về một cuộc tấn công và các phân nhánh tiềm ẩn. Một cuộc tấn công kiểu sandwich, chủ yếu nhắm vào các giao thức và nền tảng DeFi, có thể gây ra những hậu quả đáng kể và dẫn đến thao túng thị trường.

Khái niệm tấn công sandwich (Sandwich Attack)

Về cốt lõi, một cuộc tấn công sandwich (Sandwich Attack) là một hình thức chạy trước (front-running), chủ yếu nhắm vào các giao thức và dịch vụ tài chính phi tập trung. Trong các cuộc tấn công này, các nhà giao dịch bất chính tìm kiếm một giao dịch đang chờ xử lý trên mạng mà họ lựa chọn. Ví dụ, Ethereum.

Sandwiching xảy ra bằng cách đặt một lệnh ngay trước giao dịch và một lệnh ngay sau lệnh đó. Về bản chất, kẻ tấn công sẽ chạy trước và chạy sau đồng thời, với giao dịch đang chờ xử lý ban đầu được kẹp ở giữa.

Mục đích của việc đặt hai lệnh này đồng thời và xung quanh các giao dịch đang chờ xử lý là để thao túng giá tài sản. Đầu tiên, thủ phạm sẽ mua tài sản mà người dùng đang hoán đổi, chẳng hạn, bằng cách sử dụng Chainlink (LINK) để trao đổi sang Ethereum (ETH), với kiến ​​thức của họ về việc giá ETH đang tăng lên. Sau đó, thủ phạm sẽ mua Ethereum với giá thấp hơn để nạn nhân mua với giá trị cao hơn. Kẻ tấn công sau đó sẽ bán ETH với giá cao hơn sau đó.

Giao dịch sẽ có ảnh hưởng đến số lượng Ethereum mà người dùng ban đầu sẽ nhận được. Vì thủ phạm đã thành công trong việc thực hiện đơn đặt hàng với mức giá mong muốn của họ, giao dịch tiếp theo sẽ có chi phí cao hơn. Chuỗi này khiến giá Ethereum tăng lên, cho phép thủ phạm kiếm lợi nhuận bằng cách điều hành một nhà giao dịch và tạo ra một đợt tăng giá nhân tạo.

Các yếu tố khác nhau cần xem xét trong các cuộc tấn công Sandwich

Phương pháp tấn công Sandwich làm cho kiểu tấn công này nghe có vẻ đơn giản. Trong thực tế, có lẽ quá dễ dàng để thực hiện kiểu tấn công này. Ngay cả khi lợi nhuận nhỏ, người ta có thể sử dụng phương pháp này nhiều lần mà không có bất kỳ hậu quả nào.

Tuy nhiên, một nhà giao dịch độc hại cần phải chuẩn bị tốt để thực hiện một cuộc tấn công sandwich. Có nhiều điều phức tạp trong tài chính phi tập trung để xem xét có thể ảnh hưởng đến cơ hội thành công.

Phần lớn các cuộc tấn công sandwich (Sandwich Attack) sẽ được thực hiện thông qua các giải pháp Tạo thị trường tự động (AMM: automated market maker). Một số ví dụ chính bao gồm Uniswap, PancakeSwap, Sushi và hơn thế nữa.

Thông qua các thuật toán định giá của họ, thanh khoản luôn có nhu cầu cao và các giao dịch được thực hiện liên tục. Nhưng bạn không thể quên khía cạnh trượt giá (slippage ), xảy ra khi khối lượng và tính thanh khoản của tài sản thay đổi.

Các nhà giao dịch cũng phải đối mặt với giá thực hiện dự kiến, giá thực hiện thực tế và tỷ lệ trượt giá bất ngờ. Các giao dịch trên chuỗi khối có thể mất một thời gian để thực hiện và tỷ giá hối đoái giữa các tài sản có thể biến động dữ dội, dẫn đến trượt giá bất ngờ hơn.

A Sandwich Attack: Một cuộc tấn công bánh sandwich theo hai cách. Chúng ta xem xét hai trường hợp có thể xảy ra.

Liquidity Taker (Người nhận thanh khoản) với Taker (Người nhận)

Không có gì lạ khi thấy những người kiểm soát tính thanh khoản khác nhau tấn công lẫn nhau.

Ví dụ: nếu một người tham gia thị trường thông thường có một giao dịch AMM đang chờ xử lý trên blockchain, thì thủ phạm có thể tạo ra các giao dịch tiếp theo chạy trước và chạy sau, để thu lợi về tài chính. Vì nhóm thanh khoản (Liquidity Pool) và cặp tài sản có ba giao dịch đang chờ xử lý, các thợ đào sẽ quyết định giao dịch nào được chấp thuận trước.

Nếu thủ phạm trả chi phí giao dịch cao hơn so với cá nhân khác, thì sẽ có cơ hội lớn hơn để giao dịch độc hại bị bắt trước. Nó không phải là một kết quả được đảm bảo, mà chỉ đơn thuần là một minh họa về việc có thể dễ dàng thực hiện một cuộc tấn công bằng bánh sandwich.

Liquidity Provider (Nhà cung cấp thanh khoản) so với Taker (Người nhận)

Một nhà cung cấp thanh khoản có thể tấn công một người nhận thanh khoản (Liquidity Taker) theo cách tương tự. Thiết lập ban đầu vẫn giống hệt nhau, mặc dù tác nhân xấu sẽ cần thực hiện ba hành động lần này.

Thứ nhất, họ loại bỏ tính thanh khoản – như một phương pháp chạy trước – để tăng mức trượt giá của nạn nhân. Thứ hai, họ bổ sung lại thanh khoản bằng cách chạy lại để khôi phục số dư ban đầu của nhóm. Và cuối cùng, họ hoán đổi tài sản Y cho X để khôi phục số dư tài sản của X về như trước khi bị tấn công.

Rút tiền thanh khoản của ai đó trước khi giao dịch của nạn nhân được thực hiện sẽ phủ nhận phí hoa hồng cho giao dịch cụ thể. Thông thường, các nhà cung cấp thanh khoản kiếm được một khoản phí nhỏ cho hoạt động xảy ra trong nhóm mà họ lựa chọn. Điều này đảm bảo rằng hoa hồng không được cấp và có thể gây tổn hại về tài chính cho bất kỳ người mua nào, với chi phí hoa hồng.

Các cuộc tấn công Sandwich có giá cao

Mặc dù động cơ tài chính bị cắt giảm rõ ràng, nhưng việc làm được nhiều như vậy trong cuộc tấn công bánh mì kẹp, có thể không phải lúc nào cũng đáng để thử. Chi phí thực hiện các giao dịch này để chạy trước và chạy lại các nhà giao dịch khác thường sẽ lớn hơn lợi nhuận tài chính mà những kẻ tấn công thu được.

Điều này càng mơ hồ và lãng phí, đặc biệt là khi được sử dụng trên mạng Ethereum vì nó ghi nhận chi phí giao dịch (mỗi hành động) khá thường xuyên.

Tuy nhiên, một cuộc tấn công sandwich vẫn có thể là một cuộc tấn công có lợi cho những kẻ xâm lược mạng nếu hoa hồng kiếm được từ ‘hành vi bình thường’ và chi phí giao dịch cho một cuộc tấn công sandwich thấp hơn số tiền giao dịch của nạn nhân.

Nói cách khác, những nỗ lực trong cuộc tấn công bánh mì kẹp cao hơn nhiều so với sự khích lệ. Tuy nhiên, phần thưởng có thể thấp, nhưng mối đe dọa từ các cuộc tấn công vẫn rình rập xung quanh.

Sự ra đời của giao dịch phi tập trung thông qua các nhà tạo lập thị trường tự động tiếp tục gây ra rủi ro nghiêm trọng cho người dùng sử dụng các dịch vụ này. Một cuộc tấn công bánh sandwich có thể xảy ra bất cứ lúc nào.

Khi DeFi thu hút ngày càng nhiều người đến sau, sẽ có nhiều cơ hội để thủ phạm tấn công và thu lợi nhuận cao hơn thông qua các cuộc tấn công sandwich.

Mặc dù điều này không có nghĩa là sẽ có nhiều cuộc tấn công sandwich thành công hơn trong tương lai sắp tới, nhưng đó là điều cần lưu ý đối với những người mua tiền điện tử.

Làm thế nào để bảo vệ chống lại các cuộc tấn công sandwich

Đối với các nhà tạo lập thị trường tự động (AMM), điều quan trọng là phải phát triển các biện pháp đối phó có khả năng bảo vệ người dùng khỏi các cuộc tấn công sandwich.

Ví dụ: nền tảng 1inch đã giới thiệu một loại đơn đặt hàng mới được gọi là ‘giao dịch flashbot’ không hiển thị trong mempool vì chúng không bao giờ được phát tới nó. Thay vào đó, nền tảng 1inch có kết nối trực tiếp với các thợ đào đáng tin cậy để hiển thị các giao dịch sau khi chúng được khai thác.

Cho đến ngày nay, nó dường như là cách duy nhất để người dùng tự bảo vệ mình trước một cuộc tấn công sandwich (Sandwich Attack). Tuy nhiên, vẫn chưa rõ liệu các AMM khác có giả mạo quan hệ đối tác với các thợ đào để bao gồm các giao dịch mà không truyền chúng đến mempool hay không. Các giải pháp khác có thể được tìm thấy trong tương lai, mặc dù điều đó có thể sẽ mất một thời gian.

Theo: angelone

Khuyến cáo: Thông tin trên bài viết này chỉ mang tính tham khảo, không có bất kỳ lời khuyên nào về mua bán, đầu tư. Bạn hãy tự nghiên cứu trước khi thực hiện bất kỳ hình thức đầu tư nào.

Nội dung đề xuất