Ataques de ordenação e suas soluções

Curiosidade

1. Por que ver uma transação antes de ela ser confirmada cria um incentivo econômico para reorganizar o bloco?
2. Como um mecanismo de mercado pode ser tecnicamente sólido e, ainda assim, extrair valor de seus próprios usuários por meio de sequenciamento?
3. Qual é a diferença exata entre um limite de deslizamento que limita as perdas e um que impede o ataque completamente?

Explorar

Parte IOrdem dos ataques: front-running, sanduíches e MEV

1. No Ethereum, as transações pendentes aguardam em um mempool público, visível para todos os nós; o Solana não possui mempool público, mas quem retransmite ou lidera um bloco ainda consegue ver as transações pendentes. Quem controla a construção dos blocos pode inspecionar essa fila antes da finalização. Essa visibilidade cria uma condição de corrida em que velocidade e assimetria de informações determinam os resultados econômicos. A ordem de execução não é neutra; ela é a principal variável que os buscadores otimizam. Uma transação incluída primeiro captura a liquidez que, de outra forma, estaria disponível para participantes posteriores.
2. O front-running envolve observar uma transação pendente e enviar a própria transação idêntica ou complementar com taxas de prioridade mais altas, garantindo sua inclusão antes da original. Se a transação observada mover o preço em favor do praticante de front-running, ele lucra com o delta. O back-running é o oposto: executa-se após uma mudança de estado conhecida, como uma atualização do oracle ou um gatilho de liquidação, para capturar valor que só se torna disponível no novo estado.
3. O “sandwiching” explora a tolerância à flutuação de preços. Um manipulador compra um ativo imediatamente antes de uma grande transação da vítima, elevando seu preço. A vítima então executa sua transação por esse preço inflado. Imediatamente em seguida, o manipulador vende o ativo pelo preço mais alto criado pela compra da vítima. A vítima recebe menos tokens do que o esperado; o manipulador fica com a diferença. Isso é uma forma de arbitragem contra as próprias configurações de tolerância do usuário.
4. P. Daian e colaboradores formalizaram essas dinâmicas em “Flash Boys 2.0” (arXiv 2019), cunhando o termo valor extraível por mineradores (MEV), posteriormente renomeado para valor máximo extraível. Eles demonstraram que o MEV não é uma anomalia, mas sim uma característica estrutural da execução sequencial e sem permissões. Grande parte do MEV se refere a arbitragem e liquidação; parte dele, como o método de “sandwiching”, é pago diretamente por traders comuns.
5. A Flashbots (fundada em 2020) introduziu um sistema de retransmissão de pacotes privados (em 2021) e, após o Merge, leilões de construtores MEV-Boost (em 2022) na Ethereum. Isso transferiu a extração de MEV do mempool público para um leilão competitivo, tornando-a organizada, mas não inexistente. Na Solana, os pacotes Jito (a partir de 2022) criaram um mercado semelhante, no qual os validadores dão prioridade a transações agrupadas em troca de propinas. A infraestrutura mudou; o incentivo fundamental para ataques organizados permaneceu.
6. Os limites de deslizamento estabelecem o máximo de perda por transação, mas não impedem que ocorram situações de “sanduíche”. Se um usuário definir o deslizamento em 1%, um comprador ainda pode causar essa situação, elevando seu preço até esse limite. A causa raiz é a execução sequencial e dependente das ordens, dentro de uma fila visível. Removê-la significa ou ocultar as ordens até que sejam confirmadas, ou tornar as ordens dentro de um bloco irrelevantes – ambos tópicos abordados em lições futuras.

Parte IILeilões em lote e compensação uniforme

7. Nos mercados de negociação contínua, a velocidade de execução determina o resultado. Um operador que percebe uma mudança de preço e envia uma ordem antes dos outros consegue capturar um valor que, caso contrário, seria compartilhado ou perdido para os criadores de mercado. Essa dinâmica privilegia a infraestrutura em detrimento da análise: cabos de fibra ótica instalados perto dos servidores das bolsas, hardware localizado no mesmo local e redes de baixa latência tornam-se as principais vantagens competitivas. O resultado é um mercado em que pequenas diferenças de velocidade se traduzem em ganhos econômicos significativos, incentivando uma corrida armamentista tecnológica que beneficia apenas aqueles com capital para tais melhorias.
8. Budish, Cramton e Shim propuseram uma alternativa em seu artigo publicado na Quarterly Journal of Economics em 2015: o leilão em lote frequente. Em vez de combinar as ordens continuamente à medida que chegam, o sistema coleta todas as ordens de compra e venda ao longo de um curto intervalo de tempo (eles sugeriram uma fração de segundo, como 100 milissegundos) e as resolve simultaneamente por um único preço uniforme. Esse design elimina a prioridade intrabloco, pois todas as ordens enviadas dentro desse período são executadas pelo mesmo preço de resolução. O primeiro milissegundo do intervalo não oferece vantagem alguma em relação ao último; a velocidade torna-se irrelevante para a execução, fazendo com que a competição volte a se concentrar nas informações e na avaliação.
9. Aplicado aos mercados de tokens em redes blockchain, esse princípio neutraliza dois tipos comuns de ataques: sniping e sandwiching. Em um mempool padrão, um bot pode monitorar transações pendentes, detectar uma grande troca (swap) e inserir sua própria transação antes e depois dela para manipular o preço. Na liquidação em lote, todo o fluxo de ordens do bloco é tratado como um único conjunto de restrições. O protocolo determina um preço que maximize o volume ou a utilidade de todas as ordens simultaneamente. Um ataque sandwich falha porque o atacante não pode executar sua ordem separadamente da vítima; ambos fazem parte da mesma solução de liquidação.
10. O Protocolo CoW, lançado em 2021 na Ethereum, implementa isso por meio de leilões em lote. Os usuários enviam intenções de ordem assinadas para uma rede de solucionadores (solvers), em vez de diretamente para uma exchange. Os solvers competem para executar essas ordens dentro de um bloco, e o protocolo exige que as transações do mesmo par e direção, em uma solução vencedora, sejam liquidadas por um único preço. A Penumbra, cuja mainnet foi lançada em 2024 (sua exchange foi ativada em fases posteriores), agrupa as swaps por bloco. Ambos demonstram que a liquidação em lote funciona na prática, embora difiram em suas arquiteturas específicas de solvers e garantias de privacidade.
11. O principal custo desse design é a latência. Os preços são atualizados apenas quando um novo lote é processado, e não de forma contínua. Se as condições do mercado mudarem drasticamente durante o intervalo entre os lotes, o preço de processamento pode ficar atrás dos preços à vista em tempo real, criando ineficiências temporárias. Além disso, embora a prioridade dentro de um bloco desapareça, a prioridade entre blocos permanece: chegar a um bloco anterior ainda pode trazer vantagens se houver mudança na liquidez entre os blocos. Trata-se de uma forma residual de competição por velocidade, mas ela opera em uma escala de tempo mais lenta (intervalos entre blocos, e não milissegundos), reduzindo a corrida armamentista em termos de infraestrutura e tornando a participação mais acessível para traders não institucionais.
12. Verifique isso encontrando uma transação de liquidação do Protocolo CoW no Etherscan ou no CoW Explorer: uma transação liquida as negociações de vários usuários, e as negociações do mesmo par e direção dentro de uma solução são executadas ao mesmo preço efetivo. A uniformidade dos preços entre ordens diferentes dentro do mesmo lote é a assinatura visível do algoritmo de liquidação em funcionamento.

Parte IIIMempools criptografados e revelação de commits

13. Em um mempool público, todas as transações pendentes ficam visíveis para todos os nós imediatamente. Um usuário pode ler seu conteúdo, simular o resultado e enviar sua própria transação concorrente com taxas de gás mais altas para se antecipar. Esse comportamento de “front-running” extrai valor de outros usuários sem o consentimento deles. A visibilidade das ordens não confirmadas cria uma condição competitiva inerente, na qual vantagens de velocidade se traduzem diretamente em ganhos financeiros.
14. Os esquemas de compromisso-revelação resolvem isso dividindo o envio em duas fases. Primeiro, o usuário transmite um hash criptográfico da transação que pretende realizar. Depois, ele revela a transação real. Ninguém pode ver o que está sendo comprometido até a fase de revelação. Desde que a ordem de execução seja definida no momento do compromisso, isso impede o front-running, pois ninguém pode conhecer o conteúdo da ordem enquanto ela aguarda. O custo é um segundo passo: os usuários precisam voltar para revelar, e o protocolo deve decidir o que acontece com os compromissos que nunca são revelados.
15. Os mempools criptografados por limite adotam uma abordagem diferente. As transações são criptografadas com uma chave pública cuja chave de descriptografia é dividida entre um comitê (Shutter chama seus membros de “Keypers”). Nenhum membro possui a chave de descriptografia completa; somente quando um número mínimo de nós cooperam é que a transação pode ser descriptografada. A ordem é definida antes que qualquer parte veja o conteúdo, eliminando assim a possibilidade de manipulação. A confiança passa para esse comitê: se membros suficientes conspirarem, eles poderão descriptografar antecipadamente.
16. A Shutter Network implementou isso na Gnosis Chain a partir de 2024. Ela utiliza um comitê para gerenciar as ações-chave, permitindo que os usuários enviem transações criptografadas que são decifradas somente após sua posição no bloco ser determinada. Da mesma forma, o Flashbots Protect oferece canais privados de fluxo de ordens, nos quais as transações contornam completamente o mempool público e são enviadas em particular aos construtores de blocos. Ambos os métodos escondem os dados das transações dos pesquisadores, mas introduzem novas dependências.
17. Canais privados transferem a confiança do consenso descentralizado para os criadores de blocos ou comitês. Se um criador se tornar malicioso ou for comprometido, ele pode inspecionar as ordens antes de incluí-las no bloco. Os esquemas de limite reduzem esse risco ao exigir que várias partes independentes colaborem, mas a governança do comitê e o gerenciamento das chaves tornam-se pontos críticos de falha. Os usuários devem verificar se nenhuma entidade controla um número suficiente de chaves para decifrar transações unilateralmente.
18. Os trade-offs são claros: os mempools criptografados aumentam a latência devido ao overhead de criptografia/descriptografia e exigem confiança em comitês ou desenvolvedores. Os mempools públicos permanecem transparentes, mas são vulneráveis à extração de MEV. Para um mercado de tokens, adotar esses mecanismos significa aceitar uma descoberta de preços mais lenta e infraestrutura complexa em troca de proteção contra estratégias de negociação predatórias. A escolha depende de se a equidade na execução supera o custo da complexidade adicional.

Fatos-chave

Exercício nove, seis, três, um

Verificação de fatos

Datas, números e afirmações verificados com as fontes publicadas listadas abaixo.

• P. Daian et al., 'Flash Boys 2.0' (IEEE S&P 2020, arXiv 2019)
• Flashbots documentation on private transaction relays
• Jito documentation on bundles and tips
• E. Budish, P. Cramton & J. Shim, 'The High-Frequency Trading Arms Race: Frequent Batch Auctions as a Market Design Response', Quarterly Journal of Economics (2015)
• CoW Protocol Documentation, 'Batch Auctions'
• Penumbra protocol specification: DEX (batch swaps)
• Shutter Network documentation
• Flashbots Protect documentation
• S. Yang et al., 'SoK: MEV Countermeasures: Theory and Practice' (2022)