JaredFromSubway.eth, uno de los bots de ataques sándwich más notorios de Ethereum (ETH), fue drenado de más de 7,5 millones de dólares después de que unos atacantes aprovecharan su propia automatización de trading en su contra.
Puntos clave:
- JaredFromSubway.eth perdió más de 7,5 millones de dólares cuando su automatización de trading aprobó contratos controlados por el atacante.
- El atacante colocó 66 tokens falsos y pools de liquidez ficticios durante varias semanas para atraer al bot.
- Parte de los fondos robados se movieron a través de Tornado Cash, y la identidad del atacante sigue siendo desconocida.
JaredFromSubway.eth drenado en una trampa de honeypot
Ningún código fue vulnerado.
El bot fue vaciado el sábado después de que su sistema automatizado aprobara el gasto de tokens para contratos controlados por el atacante, entregando las llaves de su propia tesorería. La firma de seguridad Blockaid marcó el incidente, descartando tanto una estafa de phishing como cualquier fallo dentro del contrato de la víctima desde el que se retiraron los fondos.
Raz Niv, director de tecnología en Blockaid, describió la operación como un honeypot de contra-MEV, una trampa diseñada para explotar la lógica de confianza minimizada de la que dependen silenciosamente los traders automatizados. Apuntó exactamente a lo que el bot estaba diseñado para perseguir.
Durante varias semanas, el atacante plantó 66 tokens falsificados que copiaban los nombres de Wrapped Ether, USDC (USDC) y Tether (USDT), y luego los emparejó con pools de liquidez falsos. Esos pools parecían una oportunidad de arbitraje fácil, exactamente el tipo de beneficio que el bot busca en el mempool para encontrar y adelantarse en cada bloque. Una sola transacción barrió los tres.
Los bots MEV se enfrentan a un problema de confianza
El revés dolió porque el bot se sitúa entre las máquinas de beneficios más resentidas de las criptomonedas: funciona desde 2023 y, según se informa, ha obtenido decenas de millones de dólares de traders que nunca vieron cómo las órdenes se cerraban alrededor de sus swaps.
Su operador ha estado durante mucho tiempo entre los mayores gastadores de gas de Ethereum, quemando en ocasiones más de doscientos Ether en un solo día para ganar posición al frente de cada bloque.
Investigadores vinculan alrededor del 70% de todos los ataques sándwich en Ethereum con este bot, una práctica que se estima cuesta a los traders de toda la red unos 60 millones de dólares o más cada año. Pocos sintieron mucha simpatía. Un bot de sándwich coloca una orden justo antes de una operación pendiente y otra justo después, y luego se queda con la diferencia de precio que creó como un impuesto invisible sobre los usuarios normales, que rara vez lo notan.
El inversor cripto David Gokhshtein advirtió contra celebrarlo, aunque admitió que cualquiera que haya sido víctima de un sándwich por parte del bot ahora tendría dificultades para sentir lástima por él. Parte de los fondos robados ya se movieron a través de Tornado Cash.
El drenaje corona una racha larga y agresiva. En mayo, el bot hizo un sándwich al cofundador de Ethereum, Vitalik Buterin, durante un pequeño swap de tokens, una señal de que incluso las carteras más destacadas habían atraído su atención, por pequeña que fuera esa pérdida. La pérdida del sábado marcó un fallo raro y costoso para una operación que había funcionado en gran medida sin ser desafiada durante más de dos años, y los investigadores aún están rastreando adónde fue el resto.
Lee a continuación: ¿Por qué Trump suavizó su visión de la amenaza de Anthropic tras el G7?