حمله ساندویچی: پرده‌برداری از حملاتی موزیانه در دنیای ارزهای دیجیتال

حمله ساندویچی در دیفای چیست؟ نگاهی دوستانه و کامل به یکی از خطرناک‌ترین ترفندهای معامله‌گران مخرب

اگر فقط چند هفته در دنیای ارزهای دیجیتال فعالیت کرده باشید، احتمالاً متوجه شده‌اید که این بازار چقدر سریع، مهیج و گاهی بی‌رحم است. کوچک‌ترین حرکت قیمت می‌تواند سود شیرین یا ضرر دردناک بسازد. اما چیزی که کمتر به چشم می‌آید، تهدیدهای امنیتی جدیدی است که همیشه هم لزوماً شکل «هک» ندارند. یکی از همین تهدیدهای هوشمندانه که این روزها حسابی دردسرساز شده، حمله ساندویچی (Sandwich Attack) است.

این حمله نه با دزدیدن کلید خصوصی شروع می‌شود و نه با شکستن امنیت یک کیف پول؛ بلکه دقیقاً از همان جایی استفاده می‌کند که همیشه نقطه قوت بلاک‌چین به‌شمار می‌رفت: شفافیت تراکنش‌ها.

در این مقاله که توسط تیم بلاگ کیف پول من آماده شده، قرار نیست فقط یک تعریف ساده ارائه کنیم؛ بلکه می‌خواهیم دقیق، کامل، قابل فهم و با زبانی دوستانه توضیح بدهیم که حمله ساندویچی چیست، چطور اتفاق می‌افتد، چه تکنیک‌هایی دارد و چطور می‌شود جلوی آن را گرفت.

حمله ساندویچی چیست و چطور انجام می‌شود؟

حمله ساندویچی یک مدل سوءاستفاده در صرافی‌های غیرمتمرکز (DEX) است که مخصوص بلاک‌چین‌هایی مثل اتریوم با شفافیت بالا طراحی شده. در این حمله، مهاجم با قرار دادن دو تراکنش اطراف تراکنش شما، قیمت را به ضرر شما و به نفع خودش دستکاری می‌کند.

یک مثال ساده:

🔹 شما می‌خواهید توکنی را بخرید
🔹 مهاجم تراکنشی قبل از شما ارسال می‌کند (Front-running)
🔹 قیمت می‌رود بالا
🔹 تراکنش شما گران‌تر اجرا می‌شود
🔹 مهاجم بلافاصله توکن را با قیمت بالاتر می‌فروشد (Back-running)
🔹 شما ضرر می‌کنید، او سود می‌گیرد

به همین سادگی!

به همین دلیل هم اسمش «Sandwich» است:
🔸 معامله شما در وسط قرار می‌گیرد
🔸 دو معامله مهاجم مثل نان‌های دو طرف ساندویچ دورش می‌نشینند

نکته مهم این است که مهاجم هیچ نیازی به هک ندارد؛ فقط تراکنش‌های در صف تأیید (Mempool) را می‌بیند و از قوانین معمول بلاک‌چین استفاده می‌کند تا خودش را قبل و بعد از شما جا بدهد.

چرا حمله ساندویچی ممکن است؟ سه دلیل اصلی این حمله

بعضی کاربران فکر می‌کنند حمله ساندویچی خیلی پیچیده است، اما در حقیقت یکی از ساده‌ترین و سریع‌ترین حملات در دنیای مالی غیرمتمرکز است. سه عامل اصلی این حمله را ممکن می‌سازند:

۱. نقش بازارسازهای خودکار (AMM)

بازارساز خودکار AMM ها قلب تپنده‌ی صرافی‌های غیرمتمرکز هستند. الگوریتم‌هایی مثل:

x * y = k

نرخ هر توکن را براساس نسبت دارایی‌های موجود در استخر نقدینگی تعیین می‌کنند. یعنی اگر کسی حجم زیادی از یک توکن بخرد یا بفروشد، قیمت فوراً تغییر می‌کند.

مهاجمان این موضوع را مثل کف دست می‌شناسند و می‌دانند با چند تراکنش می‌توانند قیمت را دستکاری کنند.

۲. اسلیپیج یا لغزش قیمت

اگر تا امروز در یونی‌سواپ معامله کرده باشید، عبارت Slippage را دیده‌اید.

این همان تفاوت بین قیمت مورد انتظار شما و قیمت واقعی بعد از اجرای معامله است.

مهاجم دقیقاً از همین «لغزش» استفاده می‌کند:

🔹 قبل از شما خرید می‌کند → قیمت را بالا می‌برد
🔹 معامله شما مجبور می‌شود با قیمت بدتر اجرا شود
🔹 بعد با همان قیمت بالا دارایی را می‌فروشد

در نتیجه شما اسلیپیج بیشتری می‌پردازید و او سود می‌گیرد.

۳. تحلیل رفتاری کاربران

مهاجمان حرفه‌ای فقط از ابزارهای فنی استفاده نمی‌کنند؛ بلکه رفتار کاربران را تحلیل می‌کنند:

• حجم معاملات تکراری

• زمان‌بندی خریدوفروش‌ها

• اسلیپیج‌های تنظیم‌شده

• الگوهای رفتاری تریدرهای تازه‌کار

با شناخت این رفتارها، مهاجم دقیقاً می‌داند چه زمانی از فرصت استفاده کند.

سناریوهای رایج حمله: از رقابت در بلاک‌ها تا بازی با نقدینگی

حملات ساندویچی همیشه یک شکل ندارند. مهاجمان معمولاً از دو مدل سناریو استفاده می‌کنند:

۱. سناریوی «تیکر در برابر تیکر»

در این حالت مهاجم فقط دنبال این است که خودش را قبل و بعد از تراکنش هدف جا بزند.

با افزایش کارمزد گس احتمال اینکه تراکنش او زودتر تأیید شود بالا می‌رود. این دقیقاً همان جنگ گس است که خیلی‌ها تجربه‌اش کرده‌اند.

این روش رایج‌ترین حالت حمله ساندویچی است.

۲. سناریوی تأمین‌کننده نقدینگی در برابر تیکر

در این روش مهاجم نقش LP (تأمین‌کننده نقدینگی) را بازی می‌کند. اما هدفش کمک به استخر نیست!

او:

1. قبل از تراکنش شما کمی نقدینگی را خارج می‌کند

2. اسلیپیج افزایش می‌یابد

3. معامله شما با قیمت بدتر انجام می‌شود

4. بلافاصله نقدینگی را برمی‌گرداند

5. سپس از اختلاف قیمت سود می‌گیرد

این مدل از حمله ضربه پنهانی‌تری به کاربر وارد می‌کند چون نه فقط قیمت را دستکاری می‌کند، بلکه بخشی از کارمزدهای احتمالی را هم حذف می‌کند.

تکنیک‌های اصلی در حملات ساندویچی

برای اجرای این حمله سه تکنیک کلیدی وجود دارد:

۱. Front Running (پیش‌دستی در تراکنش)

مهاجم با مشاهده تراکنش شما در ممپول، تراکنشی سریع‌تر و با گس بیشتر می‌فرستد تا اول ثبت شود.

2. Back Running (فروش بعد از قربانی)

به‌محض اینکه معامله شما اجرا شد، او دارایی را با قیمت بالاتر می‌فروشد. این حلقه سوددهی او را کامل می‌کند.

3. تحریک اسلیپیج

مهاجم با ارسال چند تراکنش یا ایجاد نوسان مصنوعی، اسلیپیج را افزایش می‌دهد تا معامله شما به‌ضرر اجرا شود.

چطور حملات ساندویچی را تشخیص دهیم؟ نشانه‌هایی که باید مراقبشان باشید

تشخیص حمله ساندویچی سخت نیست؛ فقط باید چند علامت را جدی بگیرید.

۱. افزایش ناگهانی حجم معاملات

اگر بدون هیچ خبر یا دلیل خاصی حجم فروش و خرید ارز دیجیتال یک توکن ناگهان بالا رفت، احتمال حمله وجود دارد.

۲. نوسانات شدید و لحظه‌ای قیمت

الگوی قیمت در حمله ساندویچی معمولاً این‌طوری است:

⬆ افزایش سریع
⬇ کاهش سریع

این نوسان کوتاه‌مدت اغلب ساختگی است.

۳. بررسی نمودار کندل‌استیک

• سایه‌های بلند

• کندل‌های غیرعادی

• پرش‌های ناگهانی قیمت

• حجم غیرطبیعی

همه این‌ها می‌توانند علامت تعرض به استخر باشند.

۴. استفاده از ابزارهای تحلیل آنچین

ابزارهایی مثل:

• Dune Analytics

• Etherscan

• Tenderly

• Dextools

• TXStreet

این ابزارها رفتارهای مشکوک را خیلی سریع نمایش می‌دهند.

پیامدهای حمله ساندویچی برای کاربران و ساختار دیفای

حمله ساندویچی فقط یک ضرر معاملاتی ساده نیست؛ اثرات عمیق‌تری دارد:

🔸 ۱. ضرر مالی مستقیم

شما مجبور می‌شوید با قیمت بدتری بخرید یا بفروشید.

🔸 2. کاهش اعتماد به صرافی‌های غیرمتمرکز

کاربران تازه‌وارد وقتی چند بار این حملات را تجربه کنند، از بازارهای مالی غیرمتمرکز (DeFi) ناامید می‌شوند.

🔸 3. ایجاد نوسانات ساختگی

این حملات باعث می‌شود نمودارها رفتار غیرطبیعی داشته باشند و تحلیل بازار سخت‌تر شود.

🔸 4. کاهش بازدهی برای تأمین‌کنندگان نقدینگی

در سناریوهای LP، حتی LPها هم ضرر می‌کنند.