Sandwich Bot Jaredfromsubway.eth pierde 7,5 millones de dólares en su propia lógica de comercio - Unchained

Jaredfromsubway.eth, uno de los bots de valor máximo extraíble (MEV) más notorios de Ethereum, ha perdido más de $7.5 millones después de que un atacante utilizara la propia lógica de comercio del bot en su contra, según la firma de seguridad Blockaid.

El bot está diseñado para ataques de sándwich, un tipo de MEV en el que un comerciante automatizado detecta una transacción en cola, se adelanta a ella, obliga a la víctima a un precio peor y deshace la posición justo después. Blockaid dijo que esto no fue un esquema de phishing convencional ni un fallo en el contrato de la víctima. Durante varias semanas, el atacante creó contratos falsos de tokens y piscinas de liquidez fraudulentas, incluyendo rutas falsificadas de fWETH, fUSDC y fUSDT, emparejadas con tokens falsos de fCAP, que se presentaban como operaciones rentables.

Esta historia es un extracto del boletín informativo Unchained Daily.

Suscríbete aquí para recibir estas actualizaciones en tu correo electrónico de forma gratuita

El bot interpretó esas como oportunidades de MEV y otorgó aprobaciones de gasto a contratos auxiliares controlados por el atacante. Las rutas de prueba tempranas consumieron las aprobaciones en el acto, pero las posteriores las dejaron deliberadamente pendientes, dando al atacante una puerta abierta para mover fondos. Según Blockaid, el bot aprobó aproximadamente 92.16 WETH a un contrato auxiliar del atacante, y una última transferencia utilizó las autorizaciones abiertas para retirar WETH, USDC y USDT mediante transferFrom. CoinDesk informó que parte de las ganancias fue posteriormente canalizada a través de Tornado Cash.

Los ataques de sándwich le costaron a los comerciantes de Ethereum aproximadamente $60 millones anualmente, y alrededor del 70% de ellos se remontan a jaredfromsubway.eth, activo desde principios de 2023. El bot una vez gastó $1.14 millones en frontrunning de un intercambio trivial de Vitalik Buterin por solo unos pocos dólares de ganancia. La fuga también rima con el ataque de 2023 en el que un validador rebelde extrajo $25 millones de bots de sándwich.

En un mensaje en cadena del 22 de junio, la billetera Jared ofreció al atacante una recompensa de sombrero blanco del 50% para devolver 2,150 ETH en 48 horas, advirtiendo que de lo contrario tomaría acciones legales y policiales.

Escucha relacionada: ¿Es ‘Todo DeFi inseguro’? Lo que necesitas saber sobre mantener activos en la cadena