Зловмисник спустошив jaredfromsubway.eth, одного з найактивніших MEV "сендвіч" ботів на Ethereum, у суботу, обдуривши його автоматизовану торговельну систему та змусивши схвалити контракти, керовані зловмисником, за даними ончейн-аналітиків.

Blockaid оцінив активи, відстежені до зловмисника, приблизно в $7.5 мільйона у WETH, USDC та USDT. Оператор бота є псевдонімним і не робив перевірених публічних заяв; в інтерв'ю 2023 року представник бота стверджував, що не має публічних акаунтів у соціальних мережах.

Бот, позначений Etherscan як "jaredfromsubway: MEV Bot 2", здійснював "сендвіч-атаки" на трейдерів Ethereum з початку 2023 року і входить до числа найпродуктивніших MEV-операторів мережі. Його назва, відсилання до опального представника Subway та засудженого за злочини проти дітей Джареда Фогла, є хитрим натяком на його практику сендвіч-атак, під час яких автоматизований торговельний бот розміщує угоди з обох сторін публічної транзакції, щоб штучно отримати більше цінності від користувачів, що є формою максимально видобувної вартості або MEV.

Спустошення вперше було зафіксовано в суботу ончейн-аналітиком Specter, який вказав на втрату понад $7 мільйонів з гаманця, пов'язаного з ботом. Ончейн-дані показали, що переказ відбувся о 18:49 UTC і перемістив 1 474.58 WETH, близько 2.87 мільйона USDC та приблизно 2 мільйони USDT на адресу зловмисника однією транзакцією.

Blockaid заявив, що інцидент не був фішинговою атакою, компрометацією приватного ключа або вразливістю в широко використовуваному протоколі DeFi. Фірма повідомила, що керовані зловмисником контракти змусили систему виконання бота надати дозволи на токени, які пізніше були використані для переміщення коштів.

Витончена пастка

Протягом кількох тижнів зловмисник розгорнув 66 підроблених токен-контрактів, які імітували WETH, USDC та USDT, а потім поєднав їх з фейковими пулами ліквідності, за даними Blockaid. Для бота ці маршрути виглядали як прибуткові можливості, які він розроблений знаходити.

Бот схвалив керовані зловмисником допоміжні контракти на витрату своїх справжніх токенів. У невеликих тестових прогонах дозволи були спожиті в рамках угоди, як і очікувалося, повідомив Blockaid. Однак у більших транзакціях-приманках зловмисник структурував маршрути таким чином, щоб дозволи залишалися відкритими.

У судовому звіті, опублікованому в неділю псевдонімним розробником banteg, механізм описується як "блок-озброєний перемикач" (block-armed switch). Та сама конструкція дочірнього контракту поводилася як звичайний, споживаючий основний капітал обгортка в малих "неозброєних" тестових партіях, що приносили боту невеликі реальні прибутки, а потім діяла як фальшивий мінт у великих "озброєних" партіях, які залишали його дозволи незайманими, йдеться у звіті.

Звіт ідентифікував 16 активних дозволів на WETH (WETH allowances) по близько 92.16 WETH кожен, що разом відповідало 1 474.58 WETH, виведених під час фінального спустошення.

Фінальна транзакція була прямим переказом, а не торгівлею. Координаторський контракт викликав функцію "withdraw" на 66 дочірніх контрактах одночасно, кожен з яких витягував баланс бота до межі відкритого дозволу та пересилав його зловмиснику.

Зловмисник обміняв викрадені активи на близько 4 427 ETH, вартістю приблизно $7.7 мільйона, і вніс 1 000 ETH до раніше санкціонованого міксера Tornado Cash, за даними ончейн-трекера Lookonchain.

Звіт також зазначив, що адреса одержувача була делегованим акаунтом EIP-7702, функцією оновлення Ethereum Pectra 2025 року, яка дозволяє стандартному гаманцю виконувати код контракту.

Неперевірений X-акаунт привертає увагу

X-акаунт, який використовує ім'я jaredfromsubway.eth, з ніком @jaredsmev, опублікував інформацію про втрату ботом $15 мільйонів та запропонував винагороду в $1 мільйон за повернення коштів, попросивши інформаторів зв'язатися з ним приватно. Кілька ончейн-коментаторів позначили цей акаунт як самозванця, а не оператора бота.

Акаунт змінював імена користувачів вісім разів, востаннє цього місяця, і має історію рекламних дописів, включаючи просування токенів та пропозиції розіграшів, згідно з його публічним профілем. The Block не зміг перевірити жодного зв'язку між акаунтом та ботом, і жодна безпекова фірма не відстежила втрату, більшу за приблизно $7.5 мільйонів.

Один з найпродуктивніших ботів Ethereum

Бот jaredfromsubway.eth був одним з найбільш впізнаваних імен в MEV-економіці Ethereum. Версія "Jared 2.0", що з'явилася у 2024 році, обробила понад 85 000 транзакцій, і оператор свого часу посідав місце найбільшого щоденного споживача газу в Ethereum.

У травні бот привернув увагу, здійснивши сендвіч-атаку на невеликий обмін співзасновника Ethereum Віталіка Бутеріна, вклавши понад $1.14 мільйона у WETH, щоб фронтраннити угоду вартістю в кілька доларів.

Особа зловмисника, а також те, чи постраждали інші контракти або кошти, залишалися невідомими на момент публікації.