Відомий MEV-бот Ethereum JaredFromSubway був виснажений після того, як зловмисник використав контракти, що змусили його автоматизовану торгову систему надати дозволи на токени, за даними Blockaid.
Фірма з безпеки заявила, що інцидент не був звичайним випадком фішингу та не був прямою помилкою в контракті жертви.
«Це не класична фішингова атака і не традиційна вразливість смарт-контракту в контракті жертви», — заявили в Blockaid.
Фірма повідомила, що бот схвалив контрольовані зловмисником контракти під час маршрутів, які видавалися прибутковими MEV-угодами.
Blockaid повідомив, що спочатку зловмисник тестував маршрути, де дозволи використовувалися відразу, не залишаючи відкритих допусків. Пізніше зловмисник змінив дизайн маршруту, так що бот надавав дозволи, які не були використані або відкликані.
Один із прикладів, наведений Blockaid, стосувався схвалення близько 92,16 WETH допоміжному контракту зловмисника. Дані Etherscan для транзакції показали взаємодію jaredfromsubway.eth зі своїм контрактом MEV Bot 2 перед подальшим вилученням. Запис транзакції також показав рухи ERC-20, пов'язані з тим самим автоматизованим маршрутом.
Остаточна транзакція використала відкриті дозволи для виведення WETH, USDC та USDT з контракту MEV-бота JaredFromSubway за допомогою transferFrom. Etherscan показав перекази від «jaredfromsubway: MEV Bot 2» на гаманець зловмисника, що починається з 0x3e37.
Blockaid оцінив виведену суму приблизно в 7,5 мільйона доларів. Акаунт JaredFromSubway пізніше заявив про збитки у 15 мільйонів доларів та запропонував винагороду в 1 мільйон доларів за повне повернення коштів. Ця різниця не була повністю пояснена в переглянутих публічних повідомленнях.
Атака, схоже, була спрямована на власний торговий процес бота. MEV-боти відстежують активність Ethereum і діють щодо транзакцій, які виглядають прибутковими. У цьому випадку контрольовані зловмисником контракти зробили маршрут достатньо привабливим, щоб бот схвалив права на витрати.
Зловмисник використав 66 фейкових токен-контрактів, які імітували вигляд та функціональність WETH, USDC та USDT. Ці контракти були поєднані з фейковими пулами ліквідності. Така схема підштовхнула бота до надання дозволів, які пізніше стали шляхом для виснаження коштів.
JaredFromSubway є одним з найбільш відстежуваних сендвіч-ботів Ethereum. Під час сендвіч-атаки бот розміщує угоди до і після обміну користувача. Це може призвести до гіршої ціни для користувача, тоді як бот фіксує спред.
Як раніше повідомляло crypto.news, у квітні JaredFromSubway націлився на невеликий обмін співзасновника Ethereum Віталіка Бутеріна, використовуючи близько 1,14 мільйона доларів у WETH-обсязі на SushiSwap та Uniswap V2. Crypto.news також повідомляло у 2023 році, що бот використав 455 ETH газу протягом 24 годин і становив близько 7% споживання газу Ethereum у той період.
Цей експлойт тепер привертає увагу до дозволів на токени, які використовуються автоматизованими системами. Випадок показує, як система, створена для швидкої дії на відкритих ринкових даних, може бути направлена до небезпечних дозволів, коли контроль над ними є слабким. Це також додає новий розділ до широкої дискусії щодо MEV, сендвіч-торгівлі та захисту користувачів у мережі Ethereum.
Наразі ключові публічні деталі залишаються розділеними між технічним обговоренням Blockaid, он-чейн записами та повідомленнями з облікового запису JaredFromSubway. Жодного відновлення коштів не було підтверджено в переглянутих оновленнях.
ETH
WETH