El bot MEV de Jaredfromsubway en Ethereum se agotó después de aprobar su propio robo de 7.5 millones de dólares

El bot MEV Jaredfromsubway, vinculado a aproximadamente el 70% de los ataques de sándwich en Ethereum, perdió más de 7.5 millones de dólares en una fuga de permisos después de que su sistema automatizado autorizara contratos controlados por atacantes para gastar sus tokens.

El bot, conocido como Jaredfromsubway.eth, aprobó una serie de transacciones que parecían formar parte de rutas de comercio rentables. Esos permisos permanecieron activos, permitiendo al atacante retirar ether envuelto y dos stablecoins principales de contratos asociados con la operación.

El incidente causó efectivamente que uno de los mayores sistemas de comercio extractivo de Ethereum aprobara su propio robo. También destaca una vulnerabilidad que enfrentan los traders automatizados que deben evaluar mercados, autorizar contratos y ejecutar transacciones en segundos.

La empresa de seguridad en cadena Blockaid dijo que el atacante no comprometió las claves privadas del bot ni explotó una falla en un protocolo de finanzas descentralizadas ampliamente utilizado. En cambio, la operación se dirigió a las reglas que el bot utilizaba para identificar y buscar posibles ganancias.

Lectura relacionada

Bot MEV responsable del 7% del gas total en la red Ethereum en 24 horas

Las transacciones del bot aumentaron las tarifas de gas de la red Ethereum durante ese período, según datos de ultrasound.money.

19 de abril de 2023 · Oluwapelumi Adejumo

Cómo fue drenado Jaredfromsubway.eth

Según Blockaid, el atacante había pasado varias semanas desplegando tokens de imitación, pools de liquidez y contratos de apoyo que se asemejaban a mercados contra los cuales el bot normalmente operaba.

Los activos falsos incluían versiones de Ethereum envuelto, USDC y USDT, emparejados mediante rutas de comercio diseñadas para generar señales con apariencia de rentabilidad. Jaredfromsubway.eth detectó esas rutas y siguió su proceso habitual de permitir que contratos auxiliares movieran tokens como parte de las transacciones esperadas.

Algunas transacciones tempranas usaron los permisos como se anticipaba, ayudando a establecer un patrón que el sistema del bot continuó aceptando. Transacciones posteriores dejaron los permisos sin usar.

Cómo fue drenado el bot MEV Jaredfromsubway.eth (Fuente: Doug Colkitt) Esa distinción le dio al atacante una apertura a través de aprobaciones ERC-20, que permiten a otra dirección o contrato inteligente gastar una cantidad específica de tokens pertenecientes a la cuenta que aprueba.

El permiso puede permanecer disponible después de la transacción original a menos que se agote, reduzca o revoque.

Una vez que el atacante acumuló suficientes permisos no utilizados, los contratos usaron la función transferFrom de ERC-20 para mover WETH, USDC y USDT reales desde las cuentas del bot.

Los registros en cadena muestran transferencias repetidas por un total de aproximadamente 92 WETH, 143,000 dólares en USDC y 149,000 dólares en USDT desde un contrato vinculado al bot. Los fondos fueron dirigidos a una dirección controlada por el atacante.

CriptoSlate Resumen Diario

Señales diarias, sin ruido.

Titulares que mueven el mercado y contexto entregados cada mañana en una lectura concisa.

Resumen de 5 minutos Más de 100k lectores

Gratis. Sin spam. Cancela la suscripción en cualquier momento.

Vaya, parece que hubo un problema. Por favor, inténtelo de nuevo.

Estás suscrito. Bienvenido a bordo.

El desarrollador de Yearn Finance, Banteg, describió la operación final como una fuga de permisos en lugar de un intercambio de tokens convencional. Un contrato de coordinación llamó a una función de retiro en docenas de contratos subsidiarios, que verificaron los saldos del bot y sus permisos restantes antes de transferir los tokens disponibles.

Algunas de las ganancias fueron posteriormente enviadas a través de Tornado Cash, un servicio de mezcla de criptomonedas que puede dificultar el rastreo de fondos.

Un operador de sándwich dominante se convierte en objetivo

Jaredfromsubway.eth ha operado desde 2023 y se convirtió en uno de los participantes más prominentes en el mercado de valor extraíble máximo (MEV) de Ethereum.

El MEV se refiere a los ingresos generados por cambiar el orden en que se procesan las transacciones en la cadena de bloques. En un ataque de sándwich, un bot identifica una operación pendiente y compra el activo primero, elevando su precio. La transacción del usuario se ejecuta luego a un precio menos favorable antes de que el bot venda, capturando la diferencia.

Eso convirtió a Jaredfromsubway.eth en uno de los bots de ataque de sándwich más visibles en Ethereum antes de que la misma automatización se convirtiera en la ruta hacia sus propios fondos.

La pérdida para cualquier trader individual puede ser pequeña. Sin embargo, en decenas de miles de transacciones, la estrategia puede generar ingresos sustanciales mientras aumenta los costos de comercio y las tarifas de la red.

Según informes, estos ataques impusieron costos anuales estimados en 60 millones de dólares a los traders, mientras que aproximadamente el 70% estuvo asociado con un operador único identificado como Jaredfromsubway.eth.