Un attaquant a vidé jaredfromsubway.eth, l'un des bots MEV « sandwich » les plus actifs sur Ethereum, samedi, en trompant son système de trading automatisé pour qu'il approuve des contrats contrôlés par l'attaquant, selon les analystes onchain.
Blockaid a estimé les actifs tracés vers l'attaquant à environ 7,5 millions de dollars en WETH, USDC et USDT. L'opérateur du bot est pseudonyme et n'a fait aucune déclaration publique vérifiée ; lors d'une interview en 2023, un représentant du bot a affirmé n'avoir aucun compte de médias sociaux public.
Le bot, étiqueté par Etherscan comme « jaredfromsubway: MEV Bot 2 », a réalisé des attaques de type « sandwich » sur des traders Ethereum depuis début 2023 et figure parmi les opérateurs MEV les plus prolifiques du réseau. Son nom, une référence à Jared Fogle, porte-parole déshonoré de Subway et délinquant sexuel condamné, est un clin d'œil astucieux à sa pratique des attaques sandwich, où un bot de trading automatisé place des transactions des deux côtés d'une transaction publique afin d'extraire artificiellement plus de valeur des utilisateurs, une forme de valeur extractible maximale ou MEV.
Le drain a été signalé pour la première fois samedi par l'analyste onchain Specter, qui a indiqué une perte de plus de 7 millions de dollars d'un portefeuille lié au bot. Les données onchain ont montré que le balayage a eu lieu à 18h49 UTC et a transféré 1 474,58 WETH, environ 2,87 millions d'USDC et environ 2 millions d'USDT vers une adresse d'attaquant en une seule transaction.
Blockaid a déclaré que l'incident n'était pas une attaque de phishing, une compromission de clé privée ou une faille dans un protocole DeFi largement utilisé. La société a indiqué que des contrats contrôlés par l'attaquant avaient incité le système d'exécution du bot à accorder des approbations de jetons qui ont ensuite été utilisées pour déplacer des fonds.
Pendant plusieurs semaines, l'attaquant a déployé 66 contrats de jetons contrefaits qui imitaient le WETH, l'USDC et l'USDT, puis les a associés à de faux pools de liquidités, selon Blockaid. Pour le bot, les routes ressemblaient aux opportunités rentables qu'il est conçu pour trouver.
Le bot a approuvé des contrats auxiliaires contrôlés par l'attaquant pour dépenser ses vrais jetons. Lors de petites exécutions de test, les approbations ont été consommées à l'intérieur de la transaction comme prévu, a déclaré Blockaid. Cependant, dans les transactions d'appât plus importantes, l'attaquant a structuré les routes de manière à ce que les approbations restent ouvertes.
Un rapport forensique publié dimanche par le développeur pseudonyme banteg a décrit le mécanisme comme un interrupteur armé par bloc. La même conception de contrat enfant s'est comportée comme un wrapper normal, consommant le principal dans de petits lots de test « non armés » qui ont rapporté au bot de petits profits réels, puis a agi comme un faux mint dans de grands lots « armés » qui ont laissé ses approbations intactes, selon le rapport.
Le rapport a identifié 16 allocations WETH actives d'environ 92,16 WETH chacune, correspondant ensemble aux 1 474,58 WETH balayés lors du drain final.
La transaction finale était un balayage direct plutôt qu'un échange. Un contrat coordinateur a appelé « withdraw » (retirer) sur 66 contrats enfants à la fois, chacun tirant le solde du bot jusqu'à son allocation ouverte et le transférant à l'attaquant.
L'attaquant a échangé les actifs volés contre environ 4 427 ETH, d'une valeur d'environ 7,7 millions de dollars, et a déposé 1 000 ETH dans le mixeur Tornado Cash, anciennement sanctionné, selon le traqueur onchain Lookonchain.
Le rapport a également signalé que l'adresse de réception était un compte délégué EIP-7702, une fonctionnalité de la mise à niveau Pectra d'Ethereum de 2025 qui permet à un portefeuille standard d'exécuter du code de contrat.
Un compte X utilisant le nom jaredfromsubway.eth, avec le pseudo @jaredsmev, a publié que le bot avait perdu 15 millions de dollars et a offert une récompense d'un million de dollars pour le retour des fonds, demandant aux informateurs de le contacter en privé. Plusieurs commentateurs onchain ont signalé que le compte était un imposteur plutôt que l'opérateur du bot.
Le compte a changé de nom d'utilisateur huit fois, la plus récente ce mois-ci, et présente un historique de publications promotionnelles, y compris la promotion d'un jeton et une offre de cadeau, selon son profil public. The Block n'a pu vérifier aucun lien entre le compte et le bot, et aucune entreprise de sécurité n'a retracé une perte supérieure à environ 7,5 millions de dollars.
Le bot jaredfromsubway.eth a été l'un des noms les plus reconnaissables de l'économie MEV d'Ethereum. Une version « Jared 2.0 » apparue en 2024 a traité plus de 85 000 transactions, et l'opérateur a été à un moment donné le plus grand consommateur quotidien de gaz d'Ethereum.
En mai, le bot a attiré l'attention en réalisant une attaque de type « sandwich » sur un petit échange effectué par le co-fondateur d'Ethereum, Vitalik Buterin, engageant plus de 1,14 million de dollars en WETH pour « front-run » un trade de quelques dollars.
L'identité de l'attaquant, et si d'autres contrats ou fonds ont été affectés, restait floue au moment de la publication.
Avertissement : The Block est un média indépendant qui fournit des actualités, des recherches et des données. Depuis novembre 2023, Foresight Ventures est un investisseur majoritaire de The Block. Foresight Ventures investit dans d'autres sociétés de l'espace crypto. La bourse de cryptomonnaies Bitget est un LP d'ancrage pour Foresight Ventures. The Block continue de fonctionner de manière indépendante pour fournir des informations objectives, percutantes et opportunes sur l'industrie crypto. Voici nos divulgations financières actuelles.
© 2026 The Block. Tous droits réservés. Cet article est fourni à titre d'information uniquement. Il n'est pas offert ou destiné à être utilisé comme conseil juridique, fiscal, d'investissement, financier ou autre.
