ब्लॉकएड के अनुसार, एथेरियम का सुप्रसिद्ध एमईवी बॉट JaredFromSubway तब खाली हो गया जब एक हमलावर ने ऐसे कॉन्ट्रैक्ट्स का उपयोग किया जिससे उसकी स्वचालित ट्रेडिंग प्रणाली ने टोकन अप्रूवल दे दिए।

सुरक्षा फर्म ने कहा कि यह घटना सामान्य फ़िशिंग का मामला नहीं थी और न ही पीड़ित कॉन्ट्रैक्ट में कोई सीधा बग था। 

ब्लॉकएड ने कहा, “यह कोई क्लासिक फ़िशिंग हमला नहीं है और न ही पीड़ित कॉन्ट्रैक्ट में कोई पारंपरिक स्मार्ट-कॉन्ट्रैक्ट भेद्यता है।” 

फर्म ने कहा कि बॉट ने हमलावर-नियंत्रित कॉन्ट्रैक्ट्स को उन रास्तों के दौरान अप्रूव किया जो लाभदायक एमईवी ट्रेडों के रूप में दिख रहे थे।

ब्लॉकएड का कहना है कि अप्रूवल खुले रह गए

ब्लॉकएड ने कहा कि हमलावर ने पहले उन रास्तों का परीक्षण किया जहां अप्रूवल का उपयोग तुरंत किया गया था, जिससे कोई खुली अनुमति नहीं बची। बाद में, हमलावर ने रूट डिज़ाइन को बदल दिया ताकि बॉट ने ऐसे अप्रूवल दिए जिन्हें खर्च या रद्द नहीं किया गया था।

ब्लॉकएड द्वारा उद्धृत एक उदाहरण में हमलावर के सहायक कॉन्ट्रैक्ट को लगभग 92.16 WETH का अप्रूवल देना शामिल था। लेनदेन के लिए Etherscan डेटा ने बाद में हुई निकासी से पहले jaredfromsubway.eth को अपने MEV बॉट 2 कॉन्ट्रैक्ट के साथ इंटरैक्ट करते हुए दिखाया। लेनदेन रिकॉर्ड में उसी स्वचालित रूट से जुड़े ERC-20 मूवमेंट्स भी दिखाए गए।

अंतिम निकासी में WETH, USDC और USDT को निशाना बनाया गया

अंतिम लेनदेन ने transferFrom के माध्यम से JaredFromSubway MEV बॉट कॉन्ट्रैक्ट से WETH, USDC और USDT निकालने के लिए खुले अप्रूवल का उपयोग किया। Etherscan ने “jaredfromsubway: MEV बॉट 2” से हमलावर के वॉलेट (जो 0x3e37 से शुरू होता है) में स्थानांतरण दिखाया।

ब्लॉकएड ने निकाली गई राशि लगभग $7.5 मिलियन बताई। JaredFromSubway अकाउंट ने बाद में $15 मिलियन के नुकसान का दावा किया और धन की पूरी वापसी के लिए $1 मिलियन का इनाम पेश किया। समीक्षा किए गए सार्वजनिक पोस्ट में इस अंतर को पूरी तरह से समझाया नहीं गया है।

हमलावर ने बॉट के तर्क को उसके खिलाफ कैसे इस्तेमाल किया

यह हमला बॉट के अपने ट्रेडिंग वर्कफ़्लो को लक्षित करता हुआ प्रतीत होता है। एमईवी बॉट एथेरियम गतिविधि पर नज़र रखते हैं और लाभदायक दिखने वाले लेनदेन पर कार्रवाई करते हैं। इस मामले में, हमलावर-नियंत्रित कॉन्ट्रैक्ट्स ने रूट को इतना उपयोगी दिखाया कि बॉट ने खर्च करने के अधिकार को अप्रूव कर दिया।

हमलावर ने 66 नकली टोकन कॉन्ट्रैक्ट्स का उपयोग किया जिन्होंने WETH, USDC और USDT की बनावट और कार्यप्रणाली की नकल की। इन कॉन्ट्रैक्ट्स को नकली लिक्विडिटी पूल्स के साथ जोड़ा गया था। इस सेटअप ने बॉट को उन अप्रूवल की ओर धकेल दिया जो बाद में निकासी का मार्ग बन गए।

JaredFromSubway का रिकॉर्ड फिर से सुर्खियों में

JaredFromSubway एथेरियम के सबसे अधिक देखे जाने वाले सैंडविच बॉट्स में से एक है। सैंडविच हमले में, एक बॉट उपयोगकर्ता के स्वैप से पहले और बाद में ट्रेड करता है। यह उपयोगकर्ता को खराब कीमत दे सकता है जबकि बॉट स्प्रेड (प्रसार) को कैप्चर करता है।

जैसा कि crypto.news द्वारा पहले रिपोर्ट किया गया था, JaredFromSubway ने अप्रैल में एथेरियम के सह-संस्थापक विटालिक ब्यूटेरिन द्वारा एक छोटे स्वैप को लक्षित किया था, जिसमें SushiSwap और Uniswap V2 पर लगभग $1.14 मिलियन का WETH वॉल्यूम इस्तेमाल किया गया था। Crypto.news ने 2023 में यह भी बताया कि बॉट ने 24 घंटों के भीतर 455 ETH गैस का उपयोग किया और उस अवधि के दौरान एथेरियम के कुल गैस उपयोग का लगभग 7% हिस्सा था।

यह शोषण अब स्वचालित प्रणालियों द्वारा उपयोग किए जाने वाले टोकन अप्रूवल पर ध्यान केंद्रित करता है। यह मामला दिखाता है कि कैसे खुले बाजार डेटा पर तुरंत कार्रवाई करने के लिए बनाई गई प्रणाली को असुरक्षित अनुमतियों की ओर धकेला जा सकता है जब अप्रूवल के आसपास के नियंत्रण कमजोर हों। यह एमईवी, सैंडविच ट्रेडों और एथेरियम पर उपयोगकर्ता सुरक्षा को लेकर व्यापक बहस में एक नया अध्याय भी जोड़ता है।

फिलहाल, प्रमुख सार्वजनिक विवरण ब्लॉकएड के तकनीकी थ्रेड, ऑन-चेन रिकॉर्ड और JaredFromSubway अकाउंट के पोस्ट के बीच विभाजित हैं। समीक्षा किए गए अपडेट्स में कोई रिकवरी की पुष्टि नहीं हुई थी।