JaredFromSubway.eth, um dos bots de ataque “sandwich” mais notórios da Ethereum (ETH), foi drenado em mais de US$ 7,5 milhões depois que atacantes transformaram a própria automação de trading do bot contra ele.
Pontos principais:
- JaredFromSubway.eth perdeu mais de US$ 7,5 milhões quando sua automação de trading aprovou contratos controlados pelo atacante.
- O atacante plantou 66 tokens falsos e pools de liquidez forjados ao longo de várias semanas para fisgar o bot.
- Parte dos fundos roubados passou pela Tornado Cash, e a identidade do atacante ainda é desconhecida.
JaredFromSubway.eth é drenado em armadilha honeypot
Nenhum código foi quebrado.
O bot foi esvaziado no sábado depois que seu sistema automatizado aprovou gasto de tokens para contratos controlados pelo atacante, basicamente entregando as chaves do próprio tesouro. A empresa de segurança Blockaid sinalizou o incidente, descartando tanto um golpe de phishing quanto qualquer falha no contrato da vítima de onde os fundos foram retirados.
Raz Niv, diretor de tecnologia da Blockaid, descreveu a operação como um honeypot de contra-MEV, uma armadilha criada para explorar a lógica de confiança minimizada da qual traders automatizados dependem silenciosamente. Ela mirou exatamente no que o bot foi construído para caçar.
Ao longo de várias semanas, o atacante plantou 66 tokens falsificados que copiavam os nomes de Wrapped Ether, USDC (USDC) e Tether (USDT), depois os pareou com pools de liquidez falsos. Esses pools pareciam oportunidades fáceis de arbitragem, exatamente o tipo de lucro que o bot procura no mempool para encontrar e fazer front‑run a cada bloco. Uma única transação varreu os três.
Leia também: XRP enfrenta teste de alavancagem à medida que ETF de US$ 1,44 bi encontra pressão vendedora
Bots de MEV enfrentam um problema de confiança
A reversão do jogo doeu porque o bot figura entre as máquinas de lucro mais odiadas das criptos, operando desde 2023 e supostamente acumulando dezenas de milhões de dólares de traders que nunca viram as ordens se fecharem ao redor de seus swaps.
Seu operador há muito tempo está entre os maiores gastadores de gas da Ethereum, às vezes queimando mais de duzentos Ether em um único dia para garantir posição na frente de cada bloco.
Pesquisadores ligam cerca de 70% de todos os ataques sandwich na Ethereum ao bot, uma prática que se estima custar a traders em toda a rede algo em torno de US$ 60 milhões ou mais por ano. Poucos sentiram muita simpatia. Um bot de sandwich insere uma ordem logo antes de uma trade pendente e outra logo depois, então embolsa a diferença de preço que ele próprio criou, como um imposto invisível sobre usuários comuns que raramente percebem.
O investidor cripto David Gokhshtein alertou contra comemorações, embora admita que qualquer pessoa já “sandwiched” pelo bot agora teria dificuldade em sentir pena dele. Parte dos fundos roubados já passou pela Tornado Cash.
A drenagem encerra uma longa e agressiva sequência. Em maio, o bot fez sandwich em Vitalik Buterin, cofundador da Ethereum, durante uma pequena troca de tokens, sinal de que até carteiras de destaque haviam chamado sua atenção, por menor que fosse a perda. A perda de sábado marcou uma falha rara e cara para uma operação que vinha rodando em grande parte sem contestação por mais de dois anos, e investigadores ainda estão rastreando para onde foi o restante.
Leia a seguir: Por que Trump suavizou sua visão de ameaça da Anthropic depois do G7?