«Защита от MEV», которой не было

Август 2025 года. Трейдер из Москвы собирается обменять 200 000 USDC на ETH и опасается сэндвич-атаки. Он ищет в Google «flashbots protect» и попадает на flashbots-protect[.]io. Сайт копирует дизайн настоящего Flashbots и предлагает «подключиться для защищённой маршрутизации». Трейдер подключает кошелёк и подтверждает то, что сайт называет настройкой «сессионного ключа». На деле он передаёт управление своим аккаунтом контракту злоумышленника. Через две транзакции весь кошелёк — 283 000 $ — выведен через это делегирование.

Что на самом деле делает Flashbots

Flashbots Protect — настоящий сервис, который отправляет транзакции через приватный мемпул, чтобы защитить от фронтраннинга и сэндвич-атак. Страница настройки — protect.flashbots.net, а точный адрес RPC и варианты (например, более быстрый режим с несколькими сборщиками блоков) перечислены в официальной документации на docs.flashbots.net. Вся настройка сводится к тому, чтобы добавить этот RPC-адрес в кошелёк: никаких подписей и никакой передачи полномочий. Транзакции, отправленные через него, минуют публичный мемпул.

Как устроена подделка

Поддельный сайт уговаривает пользователя выдать полномочия «сессионного ключа» — на практике это делегирование, которое позволяет контракту злоумышленника действовать от имени аккаунта, — и уверяет, что без этого защита не заработает. Это неправда. Само делегирование существует: сессионные ключи есть в кошельках на смарт-контрактах, а EIP-7702 позволяет обычному аккаунту привязать к себе код контракта. Но ни одному сервису защиты от MEV не нужно ни то, ни другое. Делегирование и есть механизм кражи.

Три правила для сервисов «защиты от MEV»

  • Настоящая защита от MEV меняет то, как отправляется транзакция, а не то, кто может подписывать за вас. Flashbots Protect и MEV Blocker — это RPC-адреса, которые добавляются в кошелёк; CoW Swap защищает сделки, исполняя их пакетными аукционами. Ни один из них не просит передать управление аккаунтом.
  • Берите адрес из официальной документации, а не из поисковой выдачи. Flashbots Protect настраивается на protect.flashbots.net, MEV Blocker — на mevblocker.io, CoW Swap работает на cow.fi. Похожие домены вроде flashbots-protect[.]io или mev-blocker[.]com — ловушка; судите о сайте по полному домену, а не по дизайну.
  • Запрос на делегирование — операция для продвинутых. Если сайт просит настроить сессионные ключи, «обновить» аккаунт или делегировать его контракту, а вы сами не начинали это из настроек своего кошелька, — отказывайтесь. Если не можете точно сказать, какие права и какому адресу отдаёте, — тоже отказывайтесь.

Что делать, если уже подписали

Если вы выдали такое делегирование, сразу переведите всё, что осталось, на новый кошелёк: злоумышленник обычно действует быстрее, чем вы успеете что-то отменить. Затем снимите делегирование, если кошелёк это позволяет, и отзовите одобрения токенов на старом адресе. Старый кошелёк считайте скомпрометированным навсегда и больше им не пользуйтесь.

Главный урок

Опытные трейдеры — самые ценные мишени. Схемы против них говорят на языке трейдерского сообщества: MEV, сэндвич-атаки, сессионные ключи, абстракция аккаунта. Настоящая защита — понимать, что на самом деле значит каждый термин, и уметь проверить, соответствует ли действие тому, что вам о нём рассказывают.