JaredFromSubway.eth, um dos bots de ataques “sandwich” mais notórios da Ethereum (ETH), foi drenado em mais de US$ 7,5 milhões depois que atacantes usaram a própria automação de trading do bot contra ele.
Pontos principais:
- JaredFromSubway.eth perdeu mais de US$ 7,5 milhões quando sua automação de trading aprovou contratos controlados pelo atacante.
- O atacante plantou 66 tokens falsos e pools de liquidez forjados ao longo de várias semanas para fisgar o bot.
- Parte dos fundos roubados passou pelo Tornado Cash, e a identidade do atacante ainda é desconhecida.
JaredFromSubway.eth é drenado em armadilha de honeypot
Nenhum código foi quebrado.
O bot foi esvaziado no sábado depois que seu sistema automatizado aprovou gasto de tokens para contratos controlados pelo atacante, basicamente entregando as chaves do próprio tesouro. A empresa de segurança Blockaid sinalizou o incidente, descartando tanto um golpe de phishing quanto qualquer falha no contrato da vítima de onde os fundos foram retirados.
Raz Niv, diretor de tecnologia da Blockaid, descreveu a operação como um honeypot de contra-MEV, uma armadilha construída para explorar a lógica de confiança minimizada da qual traders automatizados dependem silenciosamente. O alvo foi exatamente aquilo que o bot foi criado para perseguir.
Ao longo de várias semanas, o atacante plantou 66 tokens falsificados que copiavam os nomes de Wrapped Ether, USDC (USDC) e Tether (USDT), depois os combinou com pools de liquidez falsos. Esses pools pareciam arbitragem fácil, exatamente o tipo de lucro que o bot procura no mempool para encontrar e fazer front‑run em cada bloco. Uma única transação varreu todos os três.
Veja também: XRP enfrenta teste de alavancagem à medida que ETF de US$ 1,44 bi encontra pressão vendedora
Bots de MEV enfrentam um problema de confiança
A reviravolta doeu porque o bot figura entre as máquinas de lucro mais detestadas das criptos, em operação desde 2023 e supostamente acumulando dezenas de milhões de dólares de traders que nunca viram as ordens se fecharem em torno de seus swaps.
Seu operador há muito tempo está entre os maiores gastadores de gás da Ethereum, às vezes queimando mais de duzentos Ether em um único dia para garantir posição na frente de cada bloco.
Pesquisadores associam cerca de 70% de todos os ataques sandwich na Ethereum a esse bot, uma prática que se estima custar aos traders em toda a rede aproximadamente US$ 60 milhões ou mais por ano. Poucos sentiram muita pena. Um bot de sandwich insere uma ordem logo antes de uma trade pendente e outra logo depois, embolsando o intervalo de preço que criou como um imposto invisível sobre usuários comuns, que raramente percebem.
O investidor de cripto David Gokhshtein alertou contra comemorar, embora tenha admitido que qualquer pessoa já “sandwicheada” pelo bot agora teria dificuldade em sentir pena dele. Parte dos fundos roubados já passou pelo Tornado Cash.
A drenagem encerra uma longa e agressiva sequência. Em maio, o bot fez sandwich em Vitalik Buterin, cofundador da Ethereum, durante uma pequena troca de tokens, um sinal de que até carteiras de destaque haviam chamado sua atenção, por menor que fosse a perda. A perda de sábado marcou uma falha rara e cara para uma operação que funcionou em grande parte sem contestação por mais de dois anos, e investigadores ainda rastreiam para onde foi o resto.
Leia em seguida: Por que Trump suavizou sua visão sobre a ameaça da Anthropic após o G7?