T24 · MEV

一个现实问题

你的兑换界面上线两个月，用户开始抱怨同一句话：「成交价总是比你们报的差一点。」

你按 T20 那一章排查了一遍，每一项都是对的：报价用的是当前储备，路由选的确实是最优路径，最低到账数量写进了用户的签名，过期时间也在。最关键的是——交易没有 revert。滑点保护生效了，用户拿到的数量确实不低于他签名时声明的下限。

于是你去区块浏览器上看其中一笔。

它在那个区块里排第 47 位。你顺手看了一眼第 46 位和第 48 位：同一个发起地址，同一个池子，一买一卖，中间正好夹着你的用户。

你把这三笔按顺序在本地重放，算出用户少拿了多少。那个数字非常眼熟——它几乎正好等于你前端默认的滑点容差。

用户没有被骗。合约没有 bug。检查全部通过。他只是被排在了中间。

所以真正的问题是：这三笔交易的先后顺序，是谁定的？他凭什么这么定？

思想实验

把区块链缩小成一个村子。

村口有一块公告栏，谁要办事就把条子贴上去。每隔 12 秒来一个打包员，从公告栏上挑一批条子，按他愿意的顺序一次办掉。

先只看这两条规则，就能推出三件事。

第一，公告栏是公开的，而且是「事情办完之前」公开的。 你贴的条子上写着你要买什么、买多少、最差能接受什么价。在它被办掉之前，全村人都读得到。这不是泄密，这是这块公告栏的工作方式——它必须公开，别人才能验证打包员没有乱来。

第二，顺序由打包员定，而且他可以插自己的条子。 他可以把你的条子放在第 47 位，也可以先放一张自己的。

第三，他甚至不必自己动手。 他可以对外宣布：「明天那一批，谁出钱最多，我就把谁的条子排最前面。」

第三条是整章的转折点。到这里，「排在谁前面」不再是一个技术细节，它变成了一件可以定价、可以拍卖、有人愿意出钱买的东西。

有了这个东西，村里立刻长出三门生意，先不给它们名字：

甲：两个摊位卖同一件货，价格不一样。他在便宜的摊位买、在贵的摊位卖。做完之后两边价格一样了，看起来谁也没受损——但那笔差价原本属于给摊位出货的人。

乙：他在公告栏上看见你要买一大批货。他抢在你前面买，等你把价格推上去之后再卖给你。你的意图本身，就是他的利润来源。

丙：他看见某个抵押品刚好跌破了可以被收走的线（T22 那件事）。他抢在所有人前面去收，拿走那笔奖励。

这三门生意有一个共同点，非常重要：没有一门用到了漏洞。 每一步都是合法操作，每一笔都按规则执行，每一个检查都通过。

它们利用的不是代码里的错误，是这个系统的结构本身。

你来决定

用户已经签好名了。这笔交易接下来要从你的代码里发出去。

你发到哪？

观察结果

四个选项摆在一起，它们回答的是同一个问题：你的意图，在多长时间里、对多少人可见；以及谁有资格从这个可见性里赚钱。

看第三列。这一列是本章最该记住的东西：

MEV 不能被消除，只能被转移。你的每一个防护动作，都是在改变「谁有资格从你的交易顺序里赚钱」，而不是让这个数字变成零。

任何一句「用了某个服务就安全了」的说法，都在这一列上撒了谎——它只是没告诉你新的信任对象是谁。

第二个要记住的是一个可以直接算的门槛。它决定了你这笔交易到底会不会被盯上：

攻击者毛利 ≈ 交易金额 × 他能把你推到的滑点空间
攻击者成本 ≈ 两笔兑换的手续费 + 两笔 Gas + 抢到这个位置的出价

净利大于 0，他就会做；小于等于 0，他连看都不会看你一眼

把它反过来读，就是 T20 那句话的量化版本：你设的滑点容差，是你主动挂出的悬赏金额。 容差乘以交易金额，等于你为这笔交易开出的赏金；这个赏金超过攻击成本的那一刻，你就进入了被攻击的范围。

于是这一章的那句话：交易顺序本身就是一种可以卖钱的资源。

它不是一个漏洞，不会被某个版本修掉。它是「有人必须决定顺序」这件事的必然结果。你能做的只有一件：知道这笔钱有多大、现在归谁。

建立模型

一、你的交易被谁看过

第一行经常被完全忽略。 很多人以为「不进公开内存池就安全了」，但交易在到达内存池之前已经过了一个 RPC 提供方。它是链条上第一个看到你交易的人，也是唯一一个你在代码里直接配置、却几乎从不审视的人。

二、四种形态，两类性质

这张表最重要的是第三列，它把四种形态分成了截然不同的两类：

前两行是「有人必须做的事」。 没有套利者，两个场所的价格会一直背离；没有清算人，借贷协议会积累坏账。它们提取的价值是真实存在的，只是被某个人拿走了。

后两行是「只因为你发了这笔交易才存在的事」。 如果没有人做，这笔钱根本不会产生——它不是被转移的价值，它是被创造出来的成本，而全部由你承担。

区分这两类，是判断一个「MEV 解决方案」有没有意义的唯一标准。一个方案如果只是把套利收益从 A 转给 B，它没有帮到用户；只有减少了后两行，才是真的改善。

三、三明治的数学：最优攻击规模由你的容差决定

这是本章可以完全算清楚的一段。用一个恒定乘积池（T19 那条曲线），下面这两个函数不依赖任何外部库，可以直接抄进你的测试里：

// SPDX-License-Identifier: MIT
pragma solidity ^0.8.0;

/// 恒定乘积报价：手续费按万分之 feeBps 从输入侧扣，典型值是 30
function getAmountOut(
    uint256 amountIn,
    uint256 reserveIn,
    uint256 reserveOut,
    uint256 feeBps
) pure returns (uint256) {
    uint256 inAfterFee = amountIn * (10_000 - feeBps);
    return reserveOut * inAfterFee / (reserveIn * 10_000 + inAfterFee);
}

/// 用户在「没被夹」和「被夹」两种情况下拿到的差额
/// 这一个减法，就是本章要你亲手测出来的那个数字
function sandwichLoss(
    uint256 userIn,
    uint256 attackerIn,        // 攻击者抢跑投入的金额
    uint256 reserveIn,
    uint256 reserveOut,
    uint256 feeBps
) pure returns (uint256) {
    uint256 clean = getAmountOut(userIn, reserveIn, reserveOut, feeBps);

    // 攻击者先买，把储备推到新的位置
    uint256 got = getAmountOut(attackerIn, reserveIn, reserveOut, feeBps);
    uint256 newIn = reserveIn + attackerIn;
    uint256 newOut = reserveOut - got;

    // 用户在被推高之后的曲线上成交
    uint256 sandwiched = getAmountOut(userIn, newIn, newOut, feeBps);
    return clean - sandwiched;
}

现在看攻击者怎么选 attackerIn。他受一个硬约束：用户签名里的最低到账数量。 推过头，用户那笔交易整个回滚，他的两笔操作白做还倒贴手续费。

所以他的最优解非常明确：

最优 attackerIn = 恰好让 sandwiched 等于用户的 amountOutMin 的那个值

也就是说：
    用户损失的上限 = 交易金额 × 滑点容差
    而攻击者会精确地取到这个上限，一分不多一分不少

这句话值得停一下。 攻击者不需要猜、不需要贪心，你的容差直接告诉了他该投多少钱。你把容差从 0.5% 改成 5%，等于把他的目标利润乘以十。

他会不会真的动手，取决于毛利够不够覆盖成本。把两边写全：

他的毛利  ≈ 用户损失 − 他自己两笔兑换被池子抽走的手续费
他的成本  ≈ 两笔 Gas + 为了排在你前后所付出的出价

净利大于 0 才动手。
所以存在一个最小可攻击金额：低于它的交易，没有人会看一眼。

Lab 的任务就是把这个最小金额算出来。它比任何一条防护建议都有用，因为它告诉你风险是从哪一档交易规模开始的。

四、三条防护路径，各自把权力交给了谁

第二列区分了两类完全不同的东西：减少可榨取价值是从根上减小那笔钱，减少暴露面是把能看到这笔钱的人变少。前者不需要信任任何人，后者必然引入一个新的对手方。

实践里三者是叠加使用的，不是三选一。 一个合理的默认配置通常长这样：容差按交易金额与池子深度动态计算（而不是一个写死的百分比），大额交易走私有通道或竞价执行，并且在界面上把估算的价格影响明确展示给用户——最后这一条不花任何钱，却是多数产品缺失的一环。

它叫什么

动手

第 1 笔  攻击者买入 a           ← 把价格推高
第 2 笔  用户的兑换              ← 在被推高的曲线上成交
第 3 笔  攻击者把第 1 笔买到的全部卖出

                0.1%      0.5%       1%        5%
   1,000        ...       ...       ...       ...
  10,000        ...       ...       ...       ...
 100,000        ...       ...       ...       ...

已知：池子一侧深度 D，手续费率 f，你的滑点容差 s，当前 Gas 价格 g

第 1 步：用上一步扫出的最优 a，算出攻击者毛利
        毛利 ≈ 用户损失 − 攻击者自己两笔兑换被抽走的手续费
              （注意第二项：他也要付两次 f，很多估算漏掉这一项）

第 2 步：算他的成本
        两笔 Gas = 2 × 单笔兑换 Gas × g
        抢位出价 = 他为了排在你前后愿意让出的那部分毛利
                  （保守起见按毛利的一半估）

第 3 步：净利 = 第 1 步 − 第 2 步

第 4 步：令净利等于 0，反解出交易金额 V
        这个 V 就是你这个池子、这个容差下的最小可攻击金额

AI Lab

第一步：
列出一个链上兑换产品可以采取的用户侧 MEV 防护手段。
每一条给出：它减少的是可榨取价值还是暴露面、
实现成本、对用户体验的影响、以及它把信任转移给了谁。
不要给结论，先把清单列全。

第二步：
我的产品情况是（自己写）：用户规模、典型交易金额分布、
所在的链、当前默认滑点容差、接入的 RPC 来源。
逐条评估上面每一个手段在我这里是否可行，
给出可以量化的预期效果和可以量化的代价。

第三步：
针对你推荐的前两条，分别写出：
它在什么情况下会失效、失效时我能观察到什么信号、
以及如果它的提供方停止服务，我的降级路径是什么。

真实案例

改一个变量

带走的问题

本章自测