JaredFromSubway.eth หนึ่งในบ็อตโจมตีแบบแซนด์วิชที่อื้อฉาวที่สุดบน Ethereum (ETH) ถูกดูดเงินไปมากกว่า 7.5 ล้านดอลลาร์ หลังผู้โจมตีหันเอาระบบเทรดอัตโนมัติของมันมาเล่นงานมันเอง
ประเด็นสำคัญ:
- JaredFromSubway.eth สูญเงินไปมากกว่า 7.5 ล้านดอลลาร์ เมื่อระบบเทรดอัตโนมัติของมันอนุมัติสัญญาที่ผู้โจมตีควบคุม
- ผู้โจมตีฝังโทเค็นปลอม 66 รายการและพูลสภาพคล่องปลอมเป็นเวลาหลายสัปดาห์เพื่อใช้ล่อบ็อต
- เงินที่ถูกขโมยบางส่วนถูกโอนผ่าน Tornado Cash และยังไม่ทราบตัวตนผู้โจมตี
JaredFromSubway.eth ถูกดูดเงิน จากกับดักฮันนีพอต
ไม่มีโค้ดไหนถูกแฮ็ก
บ็อตถูกดูดเงินจนเกลี้ยงเมื่อวันเสาร์ หลังระบบอัตโนมัติของมันอนุมัติสิทธิการใช้จ่ายโทเค็นให้กับสัญญาที่ผู้โจมตีควบคุม เท่ากับยกกุญแจคลังของตัวเองให้ไป บริษัทความปลอดภัย Blockaid ตรวจพบ เหตุการณ์นี้ โดยตัดประเด็นว่าไม่ใช่ทั้งฟิชชิงสแกม และไม่ใช่ช่องโหว่ในตัวสัญญาเหยื่อที่ถูกดึงเงินออกมา
Raz Niv ประธานเจ้าหน้าที่เทคโนโลยีของ Blockaid อธิบาย ปฏิบัติการนี้ว่าเป็นฮันนีพอตแบบ counter‑MEV หรือกับดักที่สร้างขึ้นเพื่อใช้ประโยชน์จากตรรกะที่เน้นความไว้วางใจขั้นต่ำ ซึ่งเทรดเดอร์อัตโนมัติมักพึ่งพาอย่างเงียบ ๆ มันพุ่งเป้าไปที่สิ่งที่บ็อตตัวนี้ถูกสร้างมาให้ไล่ล่า
ตลอดหลายสัปดาห์ ผู้โจมตีฝังโทเค็นปลอม 66 รายการ ที่ลอกชื่อของ Wrapped Ether, USDC (USDC) และ Tether (USDT) แล้วจับคู่กับพูลสภาพคล่องปลอม พูลเหล่านั้นดูเหมือนจุดทำกำไรง่าย ๆ จากอาร์บิทราจ ซึ่งเป็นประเภทกำไรที่บ็อตสแกนหาใน mempool เพื่อ front‑run ในทุกบล็อก ทรานแซกชันเดียวกวาดทั้งสามไป
อ่านเพิ่มเติม: XRP เผชิญบททดสอบเลเวอเรจ เมื่อความต้องการ ETF มูลค่า 1.44 พันล้านดอลลาร์ ชนกับแรงขาย
บ็อต MEV เผชิญปัญหาเรื่องความไว้วางใจ
การพลิกเกมครั้งนี้เจ็บหนัก เพราะบ็อตตัวนี้ อยู่ในอันดับ ของเครื่องทำกำไรที่ถูกชาวคริปโตเกลียดที่สุดตัวหนึ่ง เปิดรันมาตั้งแต่ปี 2023 และมีรายงานว่ากวาดเงินได้หลายสิบล้านดอลลาร์จากเทรดเดอร์ที่ไม่เคยเห็นคำสั่งของตัวเองถูกหนีบปิดรอบการสวอป
ผู้ดูแลบ็อตรายนี้ติดโผผู้ใช้แก๊สหนักสุดบน Ethereum มานาน เคยเผา Ether มากกว่าสองร้อย ETH ในวันเดียวเพื่อแย่งตำแหน่งหัวบล็อก
นักวิจัยเชื่อมโยงการโจมตีแบบแซนด์วิชบน Ethereum ราว 70% เข้ากับบ็อตตัวนี้ ซึ่งประเมินว่าทำให้เทรดเดอร์ทั่วทั้งเครือข่ายต้องเสียต้นทุนราว 60 ล้านดอลลาร์ขึ้นไปต่อปี มีไม่กี่คนที่รู้สึกสงสารมัน บ็อตแซนด์วิชจะวางคำสั่งหนึ่งหน้าทรานแซกชันที่กำลังจะเกิด และอีกคำสั่งตามหลัง จากนั้นเก็บส่วนต่างราคาที่มันสร้างขึ้น เหมือนภาษีล่องหนจากผู้ใช้ทั่วไปที่แทบไม่รู้ตัว
นักลงทุนคริปโต David Gokhshtein เตือนว่าควรระวังการฉลองมากเกินไป แม้ยอมรับว่าคนที่เคยถูกบ็อตนี้แซนด์วิชคงยากจะรู้สึกเห็นใจมัน ตอนนี้เงินที่ถูกขโมยบางส่วนได้ถูกโอนผ่าน Tornado Cash ไปแล้ว
การถูกดูดครั้งนี้ปิดฉากช่วงเวลาทำกำไรที่ยาวและดุดัน ในเดือนพฤษภาคม บ็อตเคยแซนด์วิชช่วย Ethereum co‑founder Vitalik Buterin ระหว่างการสวอปโทเค็นเล็ก ๆ แสดงให้เห็นว่ากระเป๋าสตางค์ระดับท็อปก็ถูกมันเพ่งเล็ง แม้จะเป็นมูลค่าเล็กน้อยก็ตาม การขาดทุนเมื่อวันเสาร์ถือเป็นความล้มเหลวที่หายากและมีราคาสูงสำหรับปฏิบัติการที่วิ่งมาค่อนข้างไร้คู่แข่งกว่าสองปี และตอนนี้นักสืบยังคงตามรอยว่าเงินส่วนที่เหลือไหลไปไหน
อ่านต่อถัดไป: ทำไมทรัมป์จึงผ่อนท่าทีต่อภัยคุกคามจาก Anthropic หลังการประชุม G7?