"Drapieżnik stał się ofiarą": znany bot MEV Ethereum stracił do 15 milionów dolarów po pułapce na fałszywe tokeny

• Znany bot MEV, JaredFromSubway, został zhakowany na Ethereum.
• Tak, padł ofiarą własnej strategii z powodu fałszywych tokenów.
• Straty oszacowano w przedziale od 7,5 miliona do 15 milionów dolarów.

Firma analityczna Blockaid zgłosiła udany atak na jeden z najlepiej znanych botów MEV w ekosystemie Ethereum — jaredfromsubway.eth. Incydent miał miejsce w czerwcu 2026 roku i doprowadził do strat w wysokości od 7,5 miliona do ponad 15 milionów dolarów, w zależności od metodologii liczenia.

Wydarzenie przyciągnęło uwagę społeczności kryptowalutowej, ponieważ nie było klasycznym atakiem phishingowym ani luką w smart kontrakcie, lecz manipulacją logiką samego algorytmu handlu automatycznego.

Według Blockaid, napastnik zdołał oszukać system, który wyszukuje opłacalne możliwości MEV, zmuszając bota do udzielania zgód na wydawanie aktywów na rzecz kontraktów stron trzecich samodzielnie.

"To nie jest klasyczny atak phishingowy ani tradycyjna luka w smart kontrakcie ofiary," podkreślił Blockaid.

Jak działał schemat

Według badaczy, napastnik stworzył dziesiątki fałszywych tokenów i pul płynności, które imitowały popularne aktywa, takie jak WETH, USDC i USDT. Do tego celu użyto tokenów takich jak fWETH, fUSDC i fUSDT, które wyglądały jak potencjalnie opłacalne trasy arbitrażowe.

Algorytm JaredFromSubway zidentyfikował te operacje jako opłacalne i automatycznie przyznał kontrakty atakującego prawa do wydawania funduszy. Podczas pierwszych testowych transakcji, zatwierdzenia zostały wykorzystane natychmiast, więc nie pojawiła się żadna podejrzana aktywność.

Później atakujący zmienił mechanikę. Bot nadal przyznawał zatwierdzenia, ale tym razem nie były one ani używane, ani cofane. W rezultacie atakujący zgromadził aktywne zatwierdzenia do wydawania funduszy.

Blockaid przytoczył jeden przykład, w którym bot zatwierdził wydanie ponad 92 WETH na adres kontraktu pomocniczego atakującego. Te zatwierdzenia zostały następnie wykorzystane do ostatecznego wypłacenia aktywów za pomocą funkcji transferFrom.

Firma zauważyła, że fundusze w WETH, USDC i USDT zostały przetransferowane do portfela atakującego po tym, jak wykorzystał wcześniej uzyskane zatwierdzenia.

"Drapieżnik stał się ofiarą"

Incydent wywołał żywą reakcję w społeczności kryptowalutowej z powodu reputacji JaredFromSubway. Przez długi czas bot był jednym z największych wykonawców tzw. ataków kanapkowych w sieci Ethereum.

Komentator Kyle Chassé stwierdził:

"Od 2023 roku Jaredfromsubway.eth zarobił miliony na traderach. Był to najsłynniejszy bot do 'ataków kanapkowych' na Ethereum. Około 70% wszystkich 'ataków kanapkowych' w sieci pochodziło z tego portfela. W ten weekend rozpoczęto polowanie na sam bot."[…] "Drapieżnik stał się ofiarą."

Z kolei współzałożyciel GlydeGG Jeremy Chung zauważył:

"Najbardziej znany bot MEV Ethereum, JaredFromSubway, właśnie stracił ponad 15 milionów dolarów. Po latach zarabiania na 'atakach kanapkowych', ktoś w końcu się zemścił."

Analityk posługujący się pseudonimem zubic_eth dodał, że bot de facto "zatwierdził własną kradzież", ponieważ jego automatyczna logika działała dokładnie tak, jak została zaprogramowana.

Problem MEV pozostaje aktualny

Historia JaredFromSubway stała się kolejnym przykładem ryzyk związanych z infrastrukturą MEV. Wcześniej Flashbots stwierdził, że boty MEV stały się systemowym problemem dla skalowania blockchaina, ponieważ mogą konsumować więcej niż połowę dostępnego gazu w sieciach.

Podobny incydent miał miejsce również w 2025 roku z Coinbase. Z powodu błędnych ustawień portfela korporacyjnego, giełda straciła około 300 000 dolarów po udzieleniu niebezpiecznych zatwierdzeń podczas interakcji z kontraktem protokołu 0x. Firma następnie cofnęła zatwierdzenia i zmieniła konfigurację swojego portfela.

JaredFromSubway sam w sobie wielokrotnie znajdował się na czołówkach gazet z powodu niezwykle wysokich wydatków na opłaty. W listopadzie 2024 roku bot zapłacił ponad 118 000 dolarów za jedną transakcję na Ethereum, a w czerwcu tego samego roku wydał około 820 000 dolarów na gaz w zaledwie jeden dzień.

Źródło: Incrypted