Атаки на порядок транзакций и защита от них

Любопытство

1. Почему возможность увидеть транзакцию до её завершения создаёт экономический стимул для переупорядочивания блока?
2. Как рыночный механизм может быть технически корректным и при этом извлекать ценность из собственных пользователей за счёт очерёдности транзакций?
3. В чём именно разница между лимитом проскальзывания, который ограничивает убытки, и тем, который полностью предотвращает атаку?

Исследование

Часть IАтаки на порядок транзакций: фронтраннинг, сэндвичи и MEV

1. В Ethereum ожидающие транзакции находятся в публичном мемпуле, видимом каждой ноде; в Solana публичного мемпула нет, но тот, кто ретранслирует или формирует блок, всё равно видит ожидающие транзакции. Тот, кто контролирует сборку блока, может изучить эту очередь до финализации. Такая видимость порождает гонку, в которой экономический результат определяют скорость и информационная асимметрия. Порядок исполнения не нейтрален: это главная переменная, которую оптимизируют сёрчеры. Транзакция, включённая первой, забирает ликвидность, которая иначе досталась бы более поздним участникам.
2. Фронтраннинг — это когда участник видит ожидающую сделку и отправляет свою собственную, идентичную или дополняющую, с более высокой приоритетной комиссией, чтобы гарантированно попасть в блок раньше исходной. Если наблюдаемая сделка двигает цену в пользу фронтраннера, он зарабатывает на разнице. Бэкраннинг — обратная схема: исполнение сделки сразу после известного изменения состояния, например обновления оракула или срабатывания ликвидации, чтобы забрать ценность, которая становится доступной только в новом состоянии.
3. Сэндвич-атака эксплуатирует допустимое проскальзывание. Сёрчер покупает актив непосредственно перед крупным свопом жертвы, поднимая его цену. Затем жертва исполняет свою сделку по этой завышенной цене. Сразу после этого сёрчер продаёт по более высокой цене, которую создала покупка жертвы. Жертва получает меньше токенов, чем ожидала, а сёрчер забирает разницу себе. Это арбитраж против собственных настроек допустимого проскальзывания пользователя.
4. П. Дайан и соавторы формализовали эту динамику в работе «Flash Boys 2.0» (arXiv, 2019), введя термин miner extractable value (MEV, «ценность, извлекаемая майнером»), позже переименованный в maximal extractable value («максимальная извлекаемая ценность»). Они показали, что MEV — не аномалия, а структурное свойство открытого (permissionless) последовательного исполнения. Значительная часть MEV — это арбитраж и ликвидации; но часть, например сэндвич-атаки, оплачивают напрямую обычные трейдеры.
5. Flashbots (основана в 2020 году) запустила приватный релей бандлов (2021), а после Merge — аукционы билдеров MEV-Boost (2022) в Ethereum. Это перенесло извлечение MEV из публичного мемпула в конкурентный аукцион, сделав его упорядоченным, но не устранив. В Solana бандлы Jito (с 2022 года) создали похожий рынок, где валидаторы отдают приоритет бандлам транзакций с чаевыми. Инфраструктура изменилась, но фундаментальный стимул к атакам на порядок транзакций сохранился.
6. Лимиты проскальзывания ограничивают максимальный убыток на одну транзакцию, но не предотвращают сэндвичи. Если пользователь выставит проскальзывание в 1%, сёрчер всё равно может зажать его сделку в сэндвич, подняв цену до этого предела. Коренная причина — последовательное, зависящее от порядка исполнение по видимой очереди. Устранить её можно, либо скрывая ордера до тех пор, пока их порядок не зафиксирован, либо сделав порядок внутри блока неважным; оба подхода рассматриваются в следующих уроках.

Часть IIПакетные аукционы и клиринг по единой цене

7. На рынках с непрерывной торговлей исход определяет скорость исполнения. Трейдер, который замечает изменение цены и отправляет ордер раньше других, забирает выгоду, которая иначе была бы разделена между участниками или досталась бы маркет-мейкерам. Такая динамика вознаграждает инфраструктуру, а не анализ: оптоволоконные кабели рядом с серверами биржи, колокация оборудования и сети с низкой задержкой становятся главными конкурентными преимуществами. В итоге на рынке крошечная разница в скорости превращается в значительную экономическую выгоду, что подстёгивает технологическую гонку вооружений, от которой выигрывают лишь те, у кого есть капитал на такие модернизации.
8. Будиш, Крамтон и Шим предложили альтернативу в статье 2015 года в Quarterly Journal of Economics — частый пакетный аукцион. Вместо того чтобы непрерывно сопоставлять ордера по мере поступления, система собирает все ордера на покупку и продажу за короткий интервал (авторы предлагали доли секунды, например 100 миллисекунд) и исполняет их одновременно по единой цене. Такая схема устраняет приоритет внутри блока, поскольку каждый ордер, отправленный в этом окне, исполняется по одной и той же цене клиринга. Первая миллисекунда интервала не даёт преимущества перед последней; скорость перестаёт влиять на исполнение, и конкуренция возвращается в сферу информации и оценки стоимости.
9. Применительно к рынкам токенов в блокчейн-сетях этот принцип нейтрализует две распространённые атаки: снайпинг и сэндвич-атаки. В обычном мемпуле бот может отслеживать неподтверждённые транзакции, обнаружить крупный своп и вставить свои транзакции до и после него, чтобы манипулировать ценой. При пакетном клиринге весь поток ордеров блока рассматривается как единый набор ограничений. Протокол находит одну цену, которая максимизирует объём или полезность сразу для всех ордеров. Сэндвич-атака не срабатывает, потому что атакующий не может исполнить сделку отдельно от жертвы: их ордера входят в одно и то же решение клиринга.
10. CoW Protocol, запущенный в 2021 году на Ethereum, реализует это через пакетные аукционы. Пользователи отправляют подписанные намерения (intents) по ордерам не напрямую на биржу, а в сеть солверов. Солверы соревнуются за исполнение этих ордеров в пределах блока, а протокол требует, чтобы сделки по одной паре в одном направлении в рамках выигравшего решения проходили по одной цене. Penumbra, основная сеть которой запущена в 2024 году (биржа была включена на более поздних этапах), объединяет свопы в пакеты по блокам. Оба проекта показывают, что пакетный клиринг работает в реальных условиях, хотя они различаются архитектурой солверов и гарантиями конфиденциальности.
11. Главная цена такой схемы — задержка. Цены обновляются только при клиринге нового пакета, а не непрерывно. Если рыночные условия резко меняются посреди интервала, цена клиринга может отставать от текущих спотовых цен, создавая временную неэффективность. Кроме того, хотя приоритет внутри блока исчезает, приоритет между блоками сохраняется: попадание в более ранний блок по-прежнему может давать преимущество, если ликвидность меняется от блока к блоку. Это остаточная форма гонки скоростей, но она идёт в более медленном масштабе времени (интервалы между блоками, а не миллисекунды), что ослабляет инфраструктурную гонку вооружений и делает участие доступнее для неинституциональных трейдеров.
12. Проверьте это, найдя расчётную транзакцию (settlement) CoW Protocol на Etherscan или в CoW Explorer: одна транзакция проводит сделки нескольких пользователей, а сделки по одной паре в одном направлении в рамках одного решения исполняются по одинаковой фактической цене. Единая цена для разных ордеров внутри одного пакета — видимый признак работы алгоритма клиринга.

Часть IIIЗашифрованные мемпулы и схема commit-reveal

13. В публичном мемпуле каждая неподтверждённая транзакция сразу видна всем нодам. Сёрчер может прочитать её содержимое, смоделировать результат и отправить собственную конкурирующую транзакцию с более высокой комиссией за газ, чтобы опередить её. Такой фронтраннинг извлекает ценность из других пользователей без их согласия. Видимость неподтверждённых ордеров создаёт встроенное состояние гонки, в котором преимущество в скорости напрямую превращается в финансовую выгоду.
14. Схемы commit-reveal решают эту проблему, разделяя отправку на два этапа. Сначала пользователь публикует криптографический хеш транзакции, которую собирается провести. Позже он раскрывает саму транзакцию. До этапа раскрытия никто не видит, что именно было зафиксировано. При условии, что порядок исполнения определяется в момент фиксации, это предотвращает фронтраннинг, поскольку никто не может узнать содержимое ордера, пока он ожидает. Цена — дополнительный шаг: пользователям нужно вернуться для раскрытия, а протокол должен решить, что делать с фиксациями, которые так и не будут раскрыты.
15. Мемпулы с пороговым шифрованием используют другой подход. Транзакции шифруются публичным ключом, а соответствующий ключ расшифровки разделён между членами комитета (в Shutter их называют Keypers). Ни у одного участника нет полного ключа расшифровки; транзакцию можно расшифровать, только когда сотрудничает пороговое число нод. Порядок фиксируется до того, как кто-либо увидит содержимое, что закрывает окно для манипуляций. Доверие переходит к комитету: если в сговор вступит достаточно участников, они смогут расшифровать транзакции досрочно.
16. Shutter Network внедрила этот механизм в Gnosis Chain начиная с 2024 года. Доли ключа управляются комитетом, что позволяет пользователям отправлять зашифрованные транзакции, которые расшифровываются только после того, как определено их место в блоке. Аналогично Flashbots Protect предлагает приватные каналы потока ордеров, по которым транзакции полностью минуют публичный мемпул и направляются напрямую билдерам блоков. Оба метода скрывают данные транзакций от сёрчеров, но создают новые зависимости.
17. Приватные каналы переносят доверие с децентрализованного консенсуса на билдеров блоков или комитеты. Если билдер окажется злонамеренным или скомпрометированным, он сможет просматривать ордера до их включения в блок. Пороговые схемы снижают этот риск, поскольку требуют сговора нескольких независимых сторон, но управление комитетом и работа с ключами становятся критическими точками отказа. Пользователям нужно убедиться, что ни одна сторона не контролирует достаточно долей ключа, чтобы в одиночку расшифровать транзакции.
18. Компромиссы очевидны: зашифрованные мемпулы добавляют задержку из-за накладных расходов на шифрование и расшифровку и требуют доверия к комитетам или билдерам. Публичные мемпулы остаются прозрачными, но уязвимы для извлечения MEV. Для рынка токенов внедрение таких механизмов означает согласие на более медленное определение цены и сложную инфраструктуру в обмен на защиту от хищнических торговых стратегий. Выбор зависит от того, перевешивает ли справедливость исполнения издержки дополнительной сложности.

Ключевые факты

Упражнение девять, шесть, три, один

Проверка фактов

Даты, цифры и утверждения были проверены по приведенным ниже опубликованным источникам.

• P. Daian et al., 'Flash Boys 2.0' (IEEE S&P 2020, arXiv 2019)
• Flashbots documentation on private transaction relays
• Jito documentation on bundles and tips
• E. Budish, P. Cramton & J. Shim, 'The High-Frequency Trading Arms Race: Frequent Batch Auctions as a Market Design Response', Quarterly Journal of Economics (2015)
• CoW Protocol Documentation, 'Batch Auctions'
• Penumbra protocol specification: DEX (batch swaps)
• Shutter Network documentation
• Flashbots Protect documentation
• S. Yang et al., 'SoK: MEV Countermeasures: Theory and Practice' (2022)