Tout savoir sur le MEV : le meilleur « sandwich bot » d'Ethereum a généré 295 millions de dollars, puis en a perdu 7,5 millions

Le chasseur devient la proie

En juin dernier, un attaquant non identifié a déployé 66 faux contrats de tokens sur Ethereum, en les déguisant sous des noms familiers tels que WETH, USDC et USDT. La cible n'était pas un portefeuille d'investisseur particulier, mais bien Jaredfromsubway.eth, l'opérateur d'attaques de type « sandwich » le plus prolifique du réseau.

Au cours des heures qui ont suivi, la logique de trading automatisée du bot a fonctionné comme à son habitude, c’est-à-dire en recherchant des opportunités d’arbitrage sur ces faux tokens et, ce faisant, en accordant des autorisations de dépense de tokens aux contrats malveillants de l’attaquant. Une fois qu’un nombre suffisant d’autorisations s’était accumulé, le pirate a vidé les véritables avoirs du bot au moyen d’une séquence coordonnée de transactions, détournant au moins 7,5 millions de dollars en ETH et en stablecoins avant de blanchir les gains via Tornado Cash. À ce jour, aucun de ces fonds n’a été récupéré.

L’ironie de la situation n’a pas échappé à la communauté de recherche Ethereum : un bot conçu pour exploiter les angles morts d’autres traders a été mis hors d’état de nuire par le mécanisme même qui rend son propre modèle économique possible.

Mais cette faille a également sous-estimé l’ampleur qu’avait prise cette activité. Les outils de suivi qui enregistrent chaque transfert d’ETH vers le contrat principal du bot indiquent un butin cumulé de 117 007 ETH au 28 août, accumulé de manière constante depuis la première extraction enregistrée du contrat en mars 2023.

Qu'est-ce que le MEV exactement ?

La valeur maximale extractible (MEV) correspond au profit qu’un producteur de blocs (ou toute personne capable d’influencer le choix des transactions incluses dans un bloc et leur ordre) peut réaliser en insérant, réorganisant ou excluant des transactions. Elle existe parce que le mempool d’Ethereum, où les transactions en attente attendent d’être incluses, est accessible au public avant d’être finalisé. Quiconque surveille ce mempool peut repérer une transaction importante en attente et agir en fonction de cette information avant qu’elle ne soit validée. Une attaque de type « sandwich » est la forme de MEV la plus préjudiciable aux consommateurs. Lorsqu’un trader soumet un swap suffisamment important pour faire fluctuer le cours d’un token sur une bourse décentralisée, un bot le détecte dans le mempool, soumet son propre ordre d’achat immédiatement avant la transaction de la victime (en payant des frais de gaz plus élevés pour garantir qu’il soit exécuté en premier), laisse la transaction de la victime s’exécuter au prix désormais moins favorable, puis vend immédiatement au prix que la transaction de la victime a fait grimper.

La tolérance au glissement de la victime (c'est-à-dire la variation de prix maximale qu'elle est prête à accepter) devient la marge bénéficiaire du bot. Pas de piratage, pas d'exploitation de faille, pas de bug de contrat intelligent ; il s'agit d'une simple question d'ordre des transactions, qui se produit des milliers de fois par jour.

Le MEV n’est pas un phénomène nouveau, car dès 2019, des chercheurs décrivaient comment les mineurs réorganisaient les transactions à des fins lucratives, et le terme lui-même a été inventé dans un article universitaire de 2019 consacré à la « valeur extractible par les mineurs » (miner extractable value). Ce qui a changé la donne, c’est Flashbots, un organisme de recherche fondé en 2020 qui a mis au point le premier système d’enchères privées pour le MEV, dans le but de sortir cette pratique du mempool public pour l’intégrer dans un processus d’enchères ordonné.

La communauté Ethereum avait surnommé le mempool d’avant Flashbots la « forêt obscure », un endroit où toute transaction visible présentant une valeur pouvait être prise en embuscade en quelques secondes. MEV-Boost, lancé parallèlement à la transition d’Ethereum vers la preuve d’enjeu en 2022, a généralisé ce modèle d’enchères privées pour en faire le mode par défaut de construction des blocs aujourd’hui.

Les rouages derrière chaque bloc

Les bots « sandwich » ne choisissent pas eux-mêmes l’ordre des blocs ; ils se le disputent via MEV-Boost, le système d’enchères hors protocole que plus de 90 % des validateurs d’Ethereum utilisent pour externaliser la construction des blocs. Dans MEV-Boost, des « constructeurs » spécialisés assemblent des blocs complets et soumettent des offres à des « relais », qui valident les blocs et transmettent l’offre la plus élevée au validateur dont c’est au tour de proposer le bloc suivant. Le validateur choisit à l’aveugle, en ne voyant que le montant de l’offre et non le contenu du bloc, puis signe le bloc qui rapporte le plus.

Cette enchère s’est concentrée entre les mains d’un petit nombre d’acteurs. Un instantané en temps réel provenant de relayscan.io, l’outil de surveillance de MEV-Boost géré par Flashbots, montre que relay.ultrasound.argent gère 34,0 % des charges utiles sur une période de 24 heures, Titan Relay 28,5 % et le relais réglementé de bloXroute 25,0 % (ce qui signifie que ces trois relais acheminent à eux trois environ 85 % à 88 % de tous les blocs MEV-Boost).

La concentration au niveau des « builders » est encore plus marquée : l’opération de « builder » de Titan assemble à elle seule 50,3 % des blocs, tandis que Quasar et Buildernet en assemblent chacun environ 16 %. Une seule entreprise décide en fait de l’ordre des transactions pour la moitié des blocs d’Ethereum au cours d’une fenêtre donnée, ce qui constitue le risque de centralisation contre lequel les détracteurs de MEV-Boost mettent en garde depuis son déploiement en 2022. En d’autres termes, un « builder » dominant peut, de manière sélective, inclure, exclure ou réorganiser des transactions sans véritable contrôle concurrentiel.

Les « sandwichs » diminuent, mais pas assez vite

Malgré les chiffres impressionnants enregistrés depuis leur création par des bots tels que JaredfromSubway, il y a une lueur d’espoir, car l’économie des attaques de type « sandwich » connaît globalement un ralentissement discret. Les données issues d’un ensemble de plus de 95 000 attaques montrent que les gains mensuels tirés des « sandwichs » sont passés d’environ 10 millions de dollars fin 2024 à environ 2,5 millions de dollars en octobre 2025, soit une baisse de 75 % en moins d’un an.

Ce sont principalement les traders qui ont adopté des outils de protection contre le MEV (qu’il s’agisse de RPC privés ou d’enchères sur les flux d’ordres qui maintiennent les transactions en attente hors du mempool public, que les bots « sandwich » scrutent) qui ont contribué à réduire cette marge.

Cela dit, les analystes estiment toujours les pertes subies par les traders à la suite d’attaques de type « sandwich » à environ 60 millions de dollars par an au plus fort de cette stratégie, un chiffre dont les « block builders » bénéficient également de manière indirecte, puisqu’une grande partie des bénéfices issus du MEV leur revient en fin de compte sous forme de frais de priorité versés par les bots pour garantir que leurs transactions soient traitées dans le bon ordre.

La feuille de route d’Ethereum apporte une réponse structurelle

Vu de l’extérieur, le module de séparation entre proposeurs et constructeurs (ePBS), qui fait partie de la mise à jour Glamsterdam prévue, intégrera l’actuelle enchère MEV-Boost hors protocole dans les règles de consensus du réseau, supprimant ainsi les relais en tant qu’intermédiaires de confiance et offrant aux validateurs des garanties cryptographiques sur le contenu des blocs sans qu’ils aient besoin de faire confiance à un constructeur ou à un opérateur de relais.

Cependant, jusqu’à ce que cette mise à jour soit déployée et se généralise sur le marché, le bilan honnête du paysage MEV d’Ethereum reste marqué par une incertitude grandissante.