JaredFromSubway.eth, один із найвідоміших на Ethereum (ETH) ботів для «сендвіч»-атак, втратив понад $7,5 млн після того, як зловмисники обернули проти нього його ж власну торгову автоматизацію.
Ключові моменти:
- JaredFromSubway.eth втратив понад $7,5 млн, коли його автоматизована торгівля схвалила контракти, що контролювалися зловмисником.
- Зловмисник протягом кількох тижнів розміщував 66 фейкових токенів і підробні пули ліквідності, щоб виманити бота.
- Частину вкрадених коштів було проведено через Tornado Cash, особу зловмисника досі не встановлено.
JaredFromSubway.eth спустошений у пастці‑honeypot
Жоден код не було зламано.
Бота спустошили в суботу, коли його автоматизована система схвалила витрати токенів для контрактів, що контролювалися атакувальником, фактично передавши ключі від власної скарбниці. Компанія з безпеки Blockaid позначила інцидент, виключивши як фішингову атаку, так і будь-які вади в контракті жертви, з якого було виведено кошти.
Раз Нів (Raz Niv), технічний директор Blockaid, описав операцію як контр‑MEV honeypot — пастку, створену для експлуатації довірено‑мінімізованої логіки, на яку покладаються автоматизовані трейдери. Вона націлювалася саме на те, за чим полював бот.
Протягом кількох тижнів зловмисник випустив 66 підроблених токенів, які копіювали назви Wrapped Ether, USDC (USDC) і Tether (USDT), а потім зв’язав їх із фейковими пулами ліквідності. Ці пули виглядали як легка арбітражна можливість — саме той тип прибутку, який бот шукає в мемпулі, щоб знайти й «перегнати» в кожному блоці. Одна транзакція змела всі три.
Також читайте: XRP стикається з тестом кредитного плеча, адже попит на ETF у $1,44 млрд наштовхується на розпродаж
У MEV‑ботів проблема з довірою
Поразка болюча ще й тому, що бот посідає місце серед найбільш ненависних криптоспільнотою машин для заробітку: з 2023 року він, за повідомленнями, заробив десятки мільйонів на трейдерах, які так і не бачили, як ордери закриваються навколо їхніх свопів.
Оператор бота давно входить до числа найбільших «спалювачів» газу в мережі Ethereum, часом витрачаючи понад двісті Ether за день, щоб виграти місце на початку кожного блока.
Дослідники пов’язують близько 70% усіх «сендвіч»-атак у мережі Ethereum із цим ботом; оцінки збитків для трейдерів по всій мережі сягають приблизно $60 млн на рік або й більше. Співчуття відчували небагато. «Сендвіч»-бот вставляє один ордер трохи раніше за відкладену угоду й ще один одразу після неї, забираючи різницю в ціні, яку сам же й створює, як невидимий податок із пересічних користувачів, які рідко це помічають.
Криптоінвестор Девід Гокштейн (David Gokhshtein) застерігав від святкувань, водночас визнавши, що кожному, кого бодай раз «затиснув у сендвіч» цей бот, тепер буде важко йому співчувати. Частину вкрадених коштів уже було проведено через Tornado Cash.
Цей злив поставив крапку в тривалому агресивному забігу. У травні бот здійснив «сендвіч»-атаку проти співзасновника Ethereum Віталіка Бутеріна під час невеликого свопу токенів, що показало: навіть «вітринні» гаманці потрапили в його поле зору, хай і з невеликою втратою. Суботня втрата стала рідкісною й дуже дорогою невдачею для операції, яка понад два роки працювала майже безперешкодно, і слідчі й досі відстежують, куди поділася решта коштів.
Читайте далі: Чому Трамп пом’якшив свою оцінку загрози від Anthropic після G7?