Bitquery: Bot sandwich trên Solana thu khoảng 29,7 triệu USD trước chi phí

Nhà cung cấp dữ liệu blockchain Bitquery phát hiện các bot sandwich đã thu khoảng 29,7 triệu USD trước chi phí từ giao dịch Solana trong 11 tháng. Bitquery xác định 96% vụ tấn công được phát hiện nhắm vào đường cong khởi chạy của nền tảng memecoin Pump.fun và sàn giao dịch PumpSwap. Cuộc điều tra bao quát các giao dịch hoán đổi thành công trong khoảng thời gian từ ngày 30 tháng 10 năm 2025 đến ngày 7 tháng 10 năm 2026. Bitquery ghi nhận 6.850.144 vụ tấn công do 2.545 ví bot thực hiện, ảnh hưởng đến 2.154.994 ví riêng biệt. Những địa chỉ này không tương đương với số người. Giao dịch của các bot khác chiếm 39% tổng khoản thu ước tính trước chi phí.

Một cuộc tấn công sandwich đặt lệnh mua và bán của bot quanh giao dịch hoán đổi của một nhà giao dịch khác. Lệnh mua đầu tiên của bot đẩy giá trong bể thanh khoản lên, khiến người mua ở giữa nhận được ít token hơn. Sau đó, bot bán ở mức giá cao hơn. Nhà giao dịch chịu chi phí thông qua mức giá khớp lệnh, ngay cả khi giao dịch hoán đổi hoàn tất thành công.

Bitquery phát hiện các giao dịch qua Jupiter trên đường cong khởi chạy của Pump.fun hoặc PumpSwap, cho phép độ trượt giá 20%-50%, bị tấn công sandwich thường xuyên gấp 14 lần so với giao dịch cho phép dưới 3%. Mức chấp nhận trượt giá quy định mức độ sai lệch tối đa của giá khớp lệnh so với giá báo. Tài liệu của Jupiter mô tả đầu ra tối thiểu được chấp nhận sau khi áp dụng mức trượt giá đó. Biến động giá vượt quá giới hạn có thể khiến giao dịch hoán đổi thất bại. Giới hạn rộng hơn cho phép mức giá khớp lệnh kém hơn, tạo ra sự đánh đổi giữa việc hoàn tất giao dịch biến động mạnh và giới hạn mức chênh lệch giá được chấp nhận.

Tỷ lệ tấn công quan sát được không tăng đồng đều theo từng mức trượt giá rộng hơn. Giao dịch có mức chấp nhận dưới 0,5% bị tấn công thường xuyên hơn giao dịch ở mức 1%-3%. Giao dịch trong nhóm từ 50% trở lên bị tấn công ít thường xuyên hơn giao dịch trong nhóm 20%-50%. Đây là so sánh mang tính quan sát và chỉ bao quát các tuyến giao dịch qua Jupiter trên đường cong khởi chạy của Pump.fun hoặc PumpSwap. Jupiter chỉ xử lý một tỷ lệ nhỏ trong tổng số giao dịch của các nạn nhân thuộc phạm vi điều tra.

Ước tính 29,7 triệu USD định giá SOL tại phút xảy ra mỗi cuộc tấn công và không đo lường lợi nhuận ròng. Mẫu phí riêng gồm 63 vụ tấn công của Bitquery cho thấy các bot giữ lại 68% tổng tiền thu trước chi phí. Mẫu này bao gồm 18 vụ tấn công bị lỗ sau khi tính chi phí. Mẫu đó không xác lập được khoản thu ròng trong toàn bộ giai đoạn. Bitquery cũng phát hiện việc ghi nhận phí bán không nhất quán của Pump.fun, ảnh hưởng khoảng 3% đến ước tính tổng khoản thu trước chi phí.

Bitquery sử dụng các mô hình giao dịch lặp lại để nhận diện bot. Bitquery loại trừ các giao dịch mua rồi bán khép kín bắt đầu trong 10 slot đầu tiên của một token. Bitquery cho biết dữ liệu sàn giao dịch và khối có những khoảng trống về phạm vi. Dữ liệu trên chuỗi không thể chứng minh bot đã nhìn thấy lệnh trước đó. Một số ví đáp ứng tiêu chí có thể thuộc về các nhà giao dịch tốc độ cao.

Giới hạn trượt giá xử lý mức giá mà nhà giao dịch chấp nhận. Một bản tiền ấn phẩm nghiên cứu riêng, được gửi ngày 23 tháng 9 năm 2026, khảo sát luồng lệnh được bảo vệ trên sáu blockchain. Luồng lệnh được bảo vệ là các giao dịch được thiết kế để tránh bị front-run. Các tác giả bản tiền ấn phẩm phát hiện những mô hình sandwich kéo dài qua nhiều giao dịch và khối. Các tác giả kết luận rằng những biện pháp bảo vệ này có thể đưa ra cam kết yếu hơn mức người dùng kỳ vọng.