Bitquery發現Solana三明治攻擊機器人成本前抽取約2,970萬美元

區塊鏈資料供應商Bitquery發現，三明治攻擊機器人在11個月期間從Solana交易中抽取約2,970萬美元，尚未扣除成本。Bitquery發現，偵測到的攻擊中有96%發生在迷因幣平台Pump.fun的發行曲線及其PumpSwap交易所。調查涵蓋2025年10月30日至2026年10月7日期間成功完成的兌換交易。Bitquery統計，2,545個機器人錢包發動了6,850,144起攻擊，影響2,154,994個不同錢包。這些地址不代表個別人士的數量。其他機器人的交易占估計總收入的39%。

三明治攻擊是指機器人在另一名交易者的兌換交易前後分別買進和賣出。機器人先買進，推高流動性池價格，導致其間進場的買方收到較少代幣。接著，機器人以較高價格賣出。即使兌換交易成功完成，交易者仍會透過執行價格承擔成本。

Bitquery發現，經由Jupiter路由、透過Pump.fun發行曲線或PumpSwap交易且允許20%至50%滑價的交易，遭三明治攻擊的頻率是允許滑價低於3%的交易的14倍。滑價容忍度設定實際成交價格可偏離報價的幅度。Jupiter的文件說明，在套用該容忍度後，系統會設定可接受的最低輸出量。價格變動超出限度可能導致兌換失敗。較寬鬆的限度允許較差的成交價格，形成在波動交易中完成交易與限制可接受價格讓步之間的取捨。

觀察到的攻擊率並未隨著每一檔較寬鬆的滑價設定而一致上升。滑價容忍度低於0.5%的交易，遭攻擊的頻率高於容忍度為1%至3%的交易。滑價容忍度達50%或以上的交易，遭攻擊的頻率低於容忍度為20%至50%的交易。這項比較屬於觀察性分析，且僅涵蓋經由Jupiter路由、透過Pump.fun發行曲線或PumpSwap的交易。調查中的受害交易僅有一小部分經由Jupiter完成。

這項2,970萬美元估算以每次攻擊發生當分鐘的SOL價格計算，並未衡量淨利潤。Bitquery另行抽樣分析63起攻擊的手續費，發現機器人保留了總收入的68%。樣本包含18起扣除成本後虧損的攻擊。該樣本無法證明整個期間的淨收益。Bitquery也發現，Pump.fun的賣出手續費記錄不一致，使總額估算受到約3%的影響。

Bitquery利用重複交易模式辨識機器人。Bitquery排除了從代幣最初10個區塊槽位開始的往返交易。Bitquery指出，交易所及區塊資料涵蓋存在缺口。鏈上紀錄無法證明機器人事先看到某筆訂單。部分符合條件的錢包可能屬於快速交易者。

滑價限制處理的是交易者願意接受的價格。另一篇於2026年9月23日提交的研究預印本，檢視了六個區塊鏈上的受保護訂單流。受保護訂單流是指旨在避免遭到搶先交易的交易。預印本作者發現，三明治攻擊模式會跨越多筆交易及多個區塊。作者總結指出，這些保護措施提供的保障可能弱於使用者的預期。