«MEV-захист», якого не було

Серпень 2025 року. Трейдер із Києва боїться сендвіч-атак під час запланованого обміну 200 000 USDC на ETH. Гуглить «flashbots protect» і потрапляє на flashbots-protect[.]io. Сайт копіює дизайн справжнього Flashbots і просить «підключити гаманець для захищеної маршрутизації». Він підключається й підтверджує те, що сайт називає налаштуванням «сесійного ключа». Насправді так він передає контроль над своїм акаунтом контракту, яким керує зловмисник. Дві транзакції — і весь гаманець на 283 000 USD порожній: кошти виведено через ту саму делегацію.

Що насправді робить Flashbots

Flashbots Protect — справжній сервіс, який надсилає транзакції через приватний мемпул, щоб захистити від фронтранінгу й сендвіч-атак. Його сторінка налаштування — protect.flashbots.net, а точна RPC-адреса й параметри (наприклад, швидший режим із кількома збирачами блоків) описані в офіційній документації на docs.flashbots.net. Налаштування зводиться до того, щоб додати цю RPC-адресу в гаманець: жодного підпису й жодного делегування прав. Транзакції, надіслані через нього, оминають публічний мемпул.

Як працює підробка

Фейковий сайт умовляє користувача надати повноваження «сесійного ключа» — на ділі делегацію, яка дозволяє контракту зловмисника діяти від імені його акаунта, — нібито без цього захист не працюватиме. Це неправда. Делегування як таке існує: сесійні ключі є в гаманцях-смартконтрактах, а EIP-7702 дозволяє звичайному акаунту вказати на код контракту. Але жоден сервіс MEV-захисту не вимагає ні того, ні іншого. Делегація — це і є механізм зливу.

Три правила для сервісів «MEV-захисту»

  • Справжній MEV-захист змінює спосіб надсилання транзакції, а не те, хто може підписувати за вас. Flashbots Protect і MEV Blocker — це RPC-адреси, які ви додаєте в гаманець; CoW Swap захищає угоди, виконуючи їх у пакетних аукціонах. Жоден із них не просить делегувати контроль над акаунтом.
  • Беріть адресу з офіційної документації, а не з пошукової видачі. Flashbots Protect налаштовується з protect.flashbots.net, MEV Blocker — з mevblocker.io, CoW Swap живе на cow.fi. Схожі домени на кшталт flashbots-protect[.]io чи mev-blocker[.]com і є пасткою; судіть про сайт за повним доменом, а не за дизайном.
  • Запити на делегування — операції для досвідчених. Якщо сайт просить налаштувати сесійні ключі, «оновити» акаунт чи делегувати права контракту, а ви не запускали це самі з налаштувань свого гаманця, — відмовляйтеся. Якщо не можете точно сказати, які повноваження й якій адресі надаєте, — відмовляйтеся.

Що робити, якщо вже підписали

Якщо ви надали таку делегацію: одразу переведіть усе, що лишилося, на новий гаманець — зловмисник зазвичай діє швидше, ніж ви встигнете щось скасувати. Потім приберіть делегацію, якщо ваш гаманець має таку можливість, і відкличте дозволи на токени на старій адресі. Вважайте старий гаманець назавжди скомпрометованим і більше ним не користуйтеся.

Глибший урок

Досвідчені трейдери — найцінніші цілі. Шахрайство, розраховане на них, говорить мовою трейдерської спільноти: MEV, сендвіч-атаки, сесійні ключі, абстракція акаунта. Справжній захист — розуміти, що насправді означає кожен термін, і вміти перевірити, чи відповідає дія тому, що про неї заявлено.