Bot MEV Ethereum yang dikenal luas, JaredFromSubway, dikuras dananya setelah penyerang menggunakan kontrak yang membuat sistem perdagangan otomatisnya memberikan persetujuan token, menurut Blockaid.
Perusahaan keamanan tersebut mengatakan insiden itu bukanlah kasus phishing biasa dan bukan bug langsung pada kontrak korban.
“Ini bukan serangan phishing klasik dan bukan kerentanan kontrak pintar tradisional pada kontrak korban,” kata Blockaid.
Perusahaan tersebut mengatakan bot menyetujui kontrak yang dikendalikan penyerang selama rute yang tampak seperti perdagangan MEV yang menguntungkan.
Blockaid mengatakan penyerang awalnya menguji rute di mana persetujuan digunakan sekaligus, tidak meninggalkan izin terbuka. Kemudian, penyerang mengubah desain rute sehingga bot memberikan persetujuan yang tidak digunakan atau dicabut.
Salah satu contoh yang dikutip Blockaid melibatkan persetujuan sekitar 92.16 WETH ke kontrak pembantu penyerang. Data Etherscan untuk transaksi tersebut menunjukkan jaredfromsubway.eth berinteraksi dengan kontrak MEV Bot 2 miliknya sebelum pengurasan berikutnya. Catatan transaksi juga menunjukkan pergerakan ERC-20 yang terkait dengan rute otomatis yang sama.
Transaksi terakhir menggunakan persetujuan yang terbuka untuk menarik WETH, USDC, dan USDT dari kontrak bot MEV JaredFromSubway melalui transferFrom. Etherscan menunjukkan transfer dari “jaredfromsubway: MEV Bot 2” ke dompet penyerang yang diawali dengan 0x3e37.
Blockaid memperkirakan jumlah dana yang dikuras sekitar $7.5 juta. Akun JaredFromSubway kemudian mengklaim kerugian $15 juta dan menawarkan hadiah $1 juta untuk pengembalian penuh dana tersebut. Perbedaan tersebut belum sepenuhnya dijelaskan dalam postingan publik yang ditinjau.
Serangan itu tampaknya menargetkan alur kerja perdagangan bot itu sendiri. Bot MEV memantau aktivitas Ethereum dan bertindak berdasarkan transaksi yang terlihat menguntungkan. Dalam kasus ini, kontrak yang dikendalikan penyerang membuat rute tersebut terlihat cukup bermanfaat bagi bot untuk menyetujui hak pengeluaran.
Penyerang menggunakan 66 kontrak token palsu yang meniru tampilan dan fungsi WETH, USDC, dan USDT. Kontrak-kontrak ini dipasangkan dengan kumpulan likuiditas palsu. Penyiapan ini mendorong bot menuju persetujuan yang kemudian menjadi jalur untuk pengurasan dana.
JaredFromSubway adalah salah satu bot sandwich Ethereum yang paling banyak diamati. Dalam serangan sandwich, bot menempatkan perdagangan sebelum dan sesudah swap pengguna. Ini dapat memberikan harga yang lebih buruk kepada pengguna sementara bot menangkap selisihnya.
Seperti yang sebelumnya dilaporkan oleh crypto.news, JaredFromSubway menargetkan swap kecil oleh salah satu pendiri Ethereum Vitalik Buterin pada bulan April, menggunakan sekitar $1.14 juta volume WETH di SushiSwap dan Uniswap V2. Crypto.news juga melaporkan pada tahun 2023 bahwa bot tersebut menggunakan 455 ETH dalam gas dalam waktu 24 jam dan menyumbang sekitar 7% dari penggunaan gas Ethereum selama periode tersebut.
Eksploitasi ini kini mengalihkan perhatian pada persetujuan token yang digunakan oleh sistem otomatis. Kasus ini menunjukkan bagaimana sistem yang dibangun untuk bertindak cepat berdasarkan data pasar terbuka dapat diarahkan ke izin yang tidak aman ketika kontrol di sekitar persetujuan lemah. Ini juga menambahkan babak baru dalam perdebatan yang lebih luas mengenai MEV, perdagangan sandwich, dan perlindungan pengguna di Ethereum.
Untuk saat ini, detail publik utama tetap terbagi antara thread teknis Blockaid, catatan on-chain, dan postingan dari akun JaredFromSubway. Belum ada pemulihan yang dikonfirmasi dalam pembaruan yang ditinjau.
