Исследователь назвал кампанию MevBotResearch. По его описанию, один из двух настроенных агентов искал цели, а второй атаковал. Они проверяли около 5 900 IP-адресов, собранных из данных сети Solana, GitHub и npm, и искали доступные из интернета сервисы, включая ClickHouse, Redis, Docker, Grafana, Solana RPC и SSH.
В одном случае, который исследователь назвал подтверждённым, злоумышленники получили доступ к ClickHouse без пароля, а затем — права администратора на сервере из-за неправильной настройки logrotate. Они забрали хранившиеся там приватные ключи и примерно за пять секунд вывели средства из кошельков с балансом более 0,02 SOL.
MEV-боты — программы, которые зарабатывают на порядке транзакций в блоке. Описанный случай касается операторов таких ботов и владельцев валидаторов: приватные ключи хранились прямо на сервере. По словам исследователя, часть задач передавали модели GLM, представляя их как «авторизованное red-team engagement».
Указанные 5 900 адресов — это объём сканирования, а не число взломанных систем. Дату описанного взлома исследователь не назвал.
