Atakujący opróżnił portfel jaredfromsubway.eth, jednego z najbardziej aktywnych botów MEV typu "sandwich" na Ethereum, w sobotę, zwodząc jego zautomatyzowany system transakcyjny do zatwierdzenia kontrolowanych przez atakującego kontraktów, według analityków on-chain.

Blockaid oszacował wartość aktywów powiązanych z atakującym na około 7,5 miliona dolarów w WETH, USDC i USDT. Operator bota jest pseudonimowy i nie wydał zweryfikowanego publicznego oświadczenia; w wywiadzie z 2023 roku przedstawiciel bota twierdził, że nie posiada publicznych kont w mediach społecznościowych.

Bot, oznaczony przez Etherscan jako "jaredfromsubway: MEV Bot 2", od początku 2023 roku przeprowadzał ataki typu "sandwich" na traderów Ethereum i plasuje się wśród najbardziej płodnych operatorów MEV w sieci. Jego nazwa, nawiązująca do niesławnego rzecznika Subwaya i skazanego pedofila Jareda Fogle'a, jest sprytnym odniesieniem do jego praktyki ataków typu "sandwich", w których zautomatyzowany bot transakcyjny umieszcza transakcje po obu stronach publicznej transakcji, aby sztucznie wydobyć większą wartość od użytkowników, co jest formą maksymalnej wartości do wydobycia, czyli MEV.

Opróżnienie zostało po raz pierwszy zgłoszone w sobotę przez analityka on-chain Spectera, który wskazał na stratę ponad 7 milionów dolarów z portfela powiązanego z botem. Dane on-chain pokazały, że transfer odbył się o 18:49 UTC i przeniósł 1 474,58 WETH, około 2,87 miliona USDC i około 2 miliony USDT na adres atakującego w jednej transakcji.

Blockaid stwierdził, że incydent nie był atakiem phishingowym, naruszeniem klucza prywatnego ani wadą w powszechnie używanym protokole DeFi. Firma podała, że kontrolowane przez atakującego kontrakty skłoniły system wykonawczy bota do udzielenia zatwierdzeń tokenów, które później wykorzystano do przeniesienia środków.

Wymyślna pułapka

W ciągu kilku tygodni atakujący rozmieścił 66 fałszywych kontraktów tokenów, które naśladowały WETH, USDC i USDT, a następnie połączył je z fałszywymi pulami płynności, według Blockaid. Dla bota, trasy przypominały dochodowe okazje, które bot jest zbudowany do znajdowania.

Bot zatwierdził kontrolowane przez atakującego kontrakty pomocnicze do wydawania jego prawdziwych tokenów. W małych testach, zatwierdzenia były zużywane w ramach transakcji zgodnie z oczekiwaniami, jak podał Blockaid. W większych transakcjach-przynętach, atakujący jednak skonstruował trasy tak, aby zatwierdzenia pozostały otwarte.

Raport kryminalistyczny opublikowany w niedzielę przez pseudonimowego dewelopera bantega opisał mechanizm jako przełącznik aktywowany blokiem. Ta sama konstrukcja kontraktu podrzędnego zachowywała się jak normalny, konsumujący kapitał wrapper w małych, "nieuzbrojonych" partiach testowych, które przynosiły botowi niewielkie, rzeczywiste zyski, a następnie działała jak fałszywy mint w dużych, "uzbrojonych" partiach, które pozostawiały jego zatwierdzenia nienaruszone, jak stwierdzono w raporcie. 

Raport zidentyfikował 16 aktywnych zezwoleń WETH o wartości około 92,16 WETH każde, łącznie odpowiadające 1 474,58 WETH zgarniętym w ostatecznym drenażu.

Ostateczna transakcja była bezpośrednim zgarnięciem środków, a nie handlem. Kontrakt koordynujący wywołał funkcję "withdraw" na 66 kontraktach podrzędnych jednocześnie, każdy pobierał saldo bota do jego otwartego limitu i przekazywał je atakującemu.

Atakujący zamienił skradzione aktywa na około 4 427 ETH, o wartości około 7,7 miliona dolarów, i wpłacił 1 000 ETH do wcześniej objętego sankcjami miksera Tornado Cash, według trackera on-chain Lookonchain.

Raport również wskazał, że adres odbiorczy był kontem delegowanym EIP-7702, funkcją z aktualizacji Ethereum Pectra 2025, która pozwala standardowemu portfelowi uruchamiać kod kontraktu.

Niesprawdzone konto na platformie X przyciąga uwagę

Konto na platformie X używające nazwy jaredfromsubway.eth, z uchwytem @jaredsmev, zamieściło informację, że bot stracił 15 milionów dolarów i zaoferowało nagrodę w wysokości 1 miliona dolarów za zwrot środków, prosząc informatorów o prywatny kontakt. Kilku komentatorów on-chain oznaczyło konto jako podszywające się, a nie jako konto operatora bota.

Konto zmieniało nazwy użytkownika osiem razy, ostatnio w tym miesiącu, i posiada historię postów promocyjnych, w tym reklamę tokenów i ofertę rozdania, zgodnie z jego publicznym profilem. The Block nie mógł zweryfikować żadnego związku między kontem a botem, a żadna firma ochroniarska nie odnotowała straty większej niż około 7,5 miliona dolarów.

Jeden z najbardziej płodnych botów Ethereum

Bot jaredfromsubway.eth był jedną z najbardziej rozpoznawalnych nazw w gospodarce MEV Ethereum. Wersja "Jared 2.0", która pojawiła się w 2024 roku, przetworzyła ponad 85 000 transakcji, a operator w pewnym momencie był największym codziennym konsumentem gazu w Ethereum.

W maju bot przyciągnął uwagę, przeprowadzając atak typu "sandwich" na małą transakcję wymiany współzałożyciela Ethereum, Vitalika Buterina, przeznaczając ponad 1,14 miliona dolarów w WETH, aby "front-runować" transakcję wartą kilka dolarów.

Tożsamość atakującego oraz to, czy inne kontrakty lub fundusze zostały naruszone, pozostawały niejasne w momencie publikacji.