Caso dos Bots de MEV: Crime utilizando as regras do pool de ativos do Ethereum

O cerne deste caso não é simplesmente operar Bots de MEV para obter lucro, mas sim que dois homens americanos exploraram uma vulnerabilidade nos Bots de MEV para realizar um “ataque Hacker” e implementar extorsão, com um valor envolvido de aproximadamente 25 milhões de dólares.

Um, Situação Básica

Os indivíduos envolvidos são Anton Peraire-Bueno (na altura com 24 anos) e James Peraire-Bueno (na altura com 28 anos), ambos irmãos, graduados no MIT. O Departamento de Justiça dos EUA acusou-os de conspiração para cometer fraude de telecomunicações, fraude de telecomunicações e conspiração para lavagem de dinheiro.

O principal crime que cometeram foi, ao utilizar a natureza pública do sistema de “validadores” da blockchain Ethereum e do MEV (Valor Máximo Extraível), planejar e executar um ataque complexo, “roubando” criptomoedas de transações que estavam aguardando processamento, e depois extorquindo as vítimas, com um valor envolvido de cerca de 25 milhões de dólares em criptomoedas. Os envolvidos no caso foram presos e processados em maio de 2024, e o caso está atualmente em julgamento, onde podem enfrentar mais de 20 anos de prisão.

Dois, detalhes chave

Para entender este caso, é necessário compreender alguns conceitos chave:

MEV (Valor Máximo Extraível): O máximo lucro que pode ser obtido na blockchain ao ajustar, incluir ou excluir a ordem das transações. As atividades comuns de MEV incluem arbitragem e liquidação. Os operadores de Bots de MEV legítimos competem por posições de transação favoráveis pagando altas taxas de Gas.

Memória de Transações (Mempool): Um pool público de transações que aguardam ser empacotadas em um bloco pelos validadores.

Validador (Validator): Participante da rede responsável por empacotar transações e criar novos blocos.

O seu método de operação pode ser simplificado nos seguintes passos:

Primeiro passo: Espionar e localizar. Eles monitoram continuamente o Mempool do Ethereum, assim como outros Bots de MEV, em busca de oportunidades de arbitragem lucrativas. Eles descobriram alguns pacotes de arbitragem compostos por três transações, capazes de gerar altos lucros.

Segundo passo: planejar a “armadilha”. Eles não competiram por essas transações aumentando a taxa de Gas como uma pessoa normal, mas sim projetaram um esquema de ataque complexo. Eles exploraram uma vulnerabilidade no código do Ethereum, visando especificamente o funcionamento do MEV-Boost (um software que ajuda os validadores a obter MEV).

Terceiro passo: Implementar o ataque - “Sequestrar” transações. Eles estabeleceram os seus próprios nós validadores e, utilizando o seu conhecimento técnico, conseguiram “sequestrar” estas transações pendentes num intervalo de tempo muito curto (cerca de 12 segundos).

Especificamente, eles impediram que essas transações fossem empacotadas normalmente em blocos por meio de uma série de operações complexas, ao mesmo tempo em que faziam os Bots que originalmente enviaram essas transações acreditarem que as transações falharam.

Quarta etapa: Roubo e reestruturação. Quando o robô MEV original desiste, eles rapidamente reorganizam essas transações “sequestradas” e direcionam os lucros de arbitragem para um endereço de carteira que controlam. Todo o processo parece, na blockchain, como uma série de reestruturações de transações normais, mas na verdade é um roubo que explora vulnerabilidades.

Passo cinco: Tentativa de lavagem de dinheiro e extorsão. Após o sucesso, eles não pararam. Eles lavaram o dinheiro através de uma série de operações complexas em cadeia (como o uso de misturadores, pontes entre cadeias, transferindo fundos para exchanges de criptomoedas no exterior) na tentativa de encobrir a origem dos fundos.

Mais grave ainda, eles contataram as vítimas e ameaçaram que, se não pagassem o resgate, denunciariam as atividades de criptomoeda das vítimas às autoridades fiscais e revelariam suas identidades. Isso constitui extorsão.

Três, Impacto Importante

Este é o primeiro processo criminal do Departamento de Justiça dos EUA relacionado a comportamentos de ataque associados ao MEV. Ele classifica um comportamento relativamente novo e altamente técnico no campo da blockchain como um crime. O caso distingue claramente o “MEV competitivo” do ataque “fraudulento” de hackers. Apenas operar bots de MEV para participar da concorrência não é ilegal, mas explorar vulnerabilidades para roubar o valor de transações já descobertas e implementar extorsão constitui um crime grave.

A vice-procuradora-geral dos EUA, Lisa Monaco, enfatizou em uma declaração: “Os réus usaram conhecimentos técnicos extremamente especializados para manipular e fraudar a blockchain do Ethereum, roubando assim criptomoedas. Embora os réus tenham adotado métodos de operação complexos, eles ainda foram identificados e presos.” Ao mesmo tempo, a acusação também afirmou que a política de ativos digitais deve ser definida pelo Congresso, e não decidida pelos tribunais, o que pode estabelecer um precedente para casos relacionados a criptomoedas.

Este caso enviou um forte sinal aos participantes dos campos DeFi (finanças descentralizadas) e MEV: mesmo no domínio onde o código é a lei, a exploração de vulnerabilidades tecnológicas para lucro ilegal também será sancionada pela lei tradicional. Isso também levou as comunidades de blockchain, como a do Ethereum, a prestar mais atenção à segurança de seus protocolos e infraestruturas.

Quatro, Pensamento Expandido

A conduta do agente no presente caso, que obteve ilegalmente criptomoedas de terceiros por meio de técnicas, atende aos elementos constitutivos do crime de furto no nosso Código Penal. De acordo com o artigo 264 do Código Penal, a subtração secreta de bens públicos ou privados em quantidades especialmente grandes é punida com pena de prisão de mais de dez anos ou prisão perpétua. O valor em questão atinge 25 milhões de dólares (aproximadamente 180 milhões de yuans), superando em muito o padrão de “quantidade especialmente grande”. Seu comportamento de extorsão pode constituir o crime de extorsão. O agente exigiu bens sob a ameaça de denúncia, o que está em total conformidade com as disposições do artigo 274 do Código Penal. Este crime é punido em concurso com o crime de furto, refletindo uma avaliação abrangente do comportamento criminoso composto. Claro, posteriormente, eles tentaram encobrir os lucros ilícitos, o que também pode constituir o crime de lavagem de dinheiro.

No nosso sistema judicial, ao examinar os elementos como a intenção subjetiva do agente, o montante de lucro ilegal e a ilegalidade dos meios técnicos, de acordo com as orientações relevantes do Supremo Tribunal Popular, as criptomoedas podem ser consideradas como objetos de propriedade protegidos pelo direito penal. Especificamente, no nível operacional do processo penal, este caso destaca três questões centrais. Primeiro, qualificação do crime, a transferência ilegal de ativos através de vulnerabilidades da blockchain é, em essência, um crime contra a propriedade. Segundo, determinação de provas, a fixação, extração e critérios de reconhecimento dos dados da blockchain como provas eletrónicas. Terceiro, cooperação transfronteiriça: se houver entidades chinesas envolvidas ou fluxos de capital para a China, deve-se iniciar a assistência judicial penal internacional.

Este caso também nos inspira de outra forma, o nosso país precisa fortalecer a análise de novos crimes no campo da blockchain, melhorar as interpretações jurídicas relevantes, garantindo que, ao manter o princípio da neutralidade tecnológica, se combata efetivamente as ações criminosas que utilizam novas tecnologias.

Em suma, este caso de 25 milhões de dólares de Bots MEV é, na essência, um roubo e extorsão financeira de alta tecnologia que explora vulnerabilidades nos protocolos de blockchain. As ações do réu ultrapassaram em muito o âmbito da competição MEV legítima, constituindo fraudes e crimes de lavagem de dinheiro claros. O resultado do julgamento deste caso estabelecerá um importante precedente legal para o tratamento de eventos semelhantes no futuro.