JaredFromSubway.eth, einer von Ethereum (ETH)s berüchtigtsten Sandwich-Angriffs-Bots, wurde um mehr als 7,5 Mio. US-Dollar erleichtert, nachdem Angreifer seine eigene Handelsautomatisierung gegen ihn ausgenutzt hatten.
Kernpunkte:
- JaredFromSubway.eth verlor mehr als 7,5 Mio. US-Dollar, als seine Handelsautomatisierung angreiferkontrollierte Verträge genehmigte.
- Der Angreifer platzierte über mehrere Wochen 66 Fake-Token und fingierte Liquiditätspools, um den Bot zu ködern.
- Ein Teil der gestohlenen Gelder floss über Tornado Cash, und die Identität des Angreifers ist weiterhin unbekannt.
JaredFromSubway.eth in Honeypot-Falle geleert
Kein Code wurde gebrochen.
Der Bot wurde am Samstag geleert, nachdem sein automatisiertes System die Ausgabegenehmigung für Token an angreiferkontrollierte Verträge erteilte und damit im Effekt die Schlüssel zu seiner eigenen Treasury übergab. Das Sicherheitsunternehmen Blockaid meldete den Vorfall und schloss sowohl einen Phishing-Betrug als auch jeglichen Fehler im Opfervertrag, aus dem die Gelder abgezogen wurden, aus.
Raz Niv, Chief Technology Officer bei Blockaid, beschrieb die Aktion als einen Counter-MEV-Honeypot, eine Falle, die darauf ausgelegt ist, die vertrauensminimierte Logik auszunutzen, auf die sich automatisierte Händler stillschweigend verlassen. Sie zielte genau auf das, was der Bot eigentlich jagen sollte.
Über mehrere Wochen hinweg platzierte der Angreifer 66 nachgemachte Token, die die Namen von Wrapped Ether, USDC (USDC) und Tether (USDT) kopierten, und kombinierte sie anschließend mit gefälschten Liquiditätspools. Diese Pools sahen nach leichtem Arbitrage-Gewinn aus – genau die Art von Profit, nach der der Bot den Mempool in jedem Block scannt, um sie zu finden und zu frontrunnen. Eine einzige Transaktion fegte alle drei ab.
Auch lesen: XRP steht vor Hebeltest, da ETF-Nachfrage von 1,44 Mrd. US-Dollar auf Sell-off trifft
MEV-Bots haben ein Vertrauensproblem
Die Kehrtwende schmerzte, weil der Bot laut Rangliste zu den meistgehassten Profitmaschinen im Krypto-Bereich gehört, seit 2023 aktiv ist und Berichten zufolge zig Millionen von Tradern eingestrichen hat, die nie bemerkten, wie sich die Orders um ihre Swaps herum schlossen.
Sein Betreiber gehörte lange zu den größten Gas-Verbrauchern auf Ethereum und verbrannte zeitweise mehr als zweihundert Ether an einem einzigen Tag, um sich die Spitzenposition am Anfang jedes Blocks zu sichern.
Forscher führen rund 70 % aller Ethereum-Sandwich-Angriffe auf diesen Bot zurück – eine Praxis, von der man schätzt, dass sie Trader im gesamten Netzwerk jährlich rund 60 Mio. US-Dollar oder mehr kostet. Kaum jemand empfand viel Mitleid. Ein Sandwich-Bot platziert eine Order direkt vor einem anstehenden Trade und eine weitere direkt dahinter und steckt die daraus entstehende Preisdifferenz als unsichtbare Steuer auf gewöhnliche Nutzer ein, die sie nur selten bemerken.
Krypto-Investor David Gokhshtein mahnte zur Zurückhaltung beim Feiern, räumte aber ein, dass jeder, der jemals von dem Bot „gesandwiched“ wurde, nun schwer Mitleid mit ihm haben dürfte. Ein Teil der gestohlenen Gelder ist bereits über Tornado Cash geflossen.
Der Abzug markiert das Ende einer langen und aggressiven Serie. Im Mai nahm der Bot Ethereum-Mitgründer Vitalik Buterin bei einem kleinen Token-Tausch in die Zange – ein Zeichen dafür, dass selbst prominente Wallets seine Aufmerksamkeit auf sich gezogen hatten, so gering der Verlust auch war. Der Verlust am Samstag bedeutete ein seltenes und teures Scheitern für eine Operation, die mehr als zwei Jahre weitgehend unangefochten lief, und Ermittler verfolgen weiterhin, wohin der Rest der Gelder geflossen ist.
Als Nächstes lesen: Warum hat Trump seine Sicht auf die „Anthropic-Bedrohung“ nach dem G7 abgeschwächt?