#MyGateTradeStory

Le bot MEV le plus célèbre sur Ethereum perd 7,5 millions de dollars dans un piège Honeypot on-chain

Un attaquant a drainé environ 7,5 millions de dollars du bot JaredFromSubway MEV, l’un des systèmes d’attaque sandwich les plus actifs sur Ethereum, après avoir réussi à tromper le bot pour qu’il approuve l’utilisation de tokens auxquels il ne devrait pas donner l’autorisation.

La société de sécurité Blockaid, qui a découvert cet incident, indique que le bot n’a pas été affecté par une faille dans le contrat intelligent, une attaque de phishing ou une fuite de clé privée. Au contraire, l’attaquant a exploité la logique de recherche de profit du bot lui-même pour mener son opération.

Comment ce bot MEV a été trompé

Le bot JaredFromSubway MEV exécute une stratégie automatique qui scanne la mempool d’Ethereum pour repérer des opportunités de trading rentables. Cette pratique est connue sous le nom de valeur extractible maximale.

Ce bot effectue des frontruns et des backruns sur d’autres transactions pour profiter de la différence de prix, avec une tactique appelée attaque sandwich.

Ce bot est devenu célèbre en avril 2023. En une journée, il a dépensé plus de 1 million de dollars en frais de gaz, ce qui représente près de 8 % de toutes les dépenses en gaz sur Ethereum à cette époque.

L’attaquant a passé des semaines à lancer 66 contrats de tokens faux. Ces tokens imitaient Wrapped Ether (WETH), USD Coin (USDC) et Tether (USDT).

Pour le bot, ces contrats semblaient être des routes de trading qu’il recherchait. Le bot est alors tombé dans le piège, en donnant son accord pour l’utilisation de tokens à un contrat auxiliaire contrôlé par l’attaquant. Un seul accord a déjà transféré plus de 92 WETH à leur profit.

Ensuite, le contrat final a utilisé cette autorisation ouverte pour siphonner les fonds originaux du bot.

Le piège Reverse-MEV

Ce piège transforme la vitesse et l’agressivité du bot en ses propres faiblesses. Chasser un bot MEV n’est pas une nouveauté. En 2023, un validateur malveillant a drainé environ 25 millions de dollars du bot sandwich MEV.

« Le contrat contrôlé par l’attaquant a réussi à tromper le système d’exécution automatique MEV pour donner l’autorisation d’utiliser des tokens, qui ont ensuite été utilisés pour siphonner les fonds », explique Blockaid.

Ce type d’attaque sandwich a longtemps été critiqué car il est considéré comme une taxe invisible pour les traders quotidiens.

Les gestionnaires du bot estiment que la perte pourrait atteindre près de 15 millions de dollars. Ils offrent également une récompense de 1 million de dollars si les fonds sont restitués. Par ailleurs, Blockaid et PeckShield évaluent la valeur des fonds drainés sur le réseau à environ 7,5 millions de dollars en WETH, USDC et USDT.

La possibilité pour l’opérateur de récupérer les fonds dépendra désormais de sa volonté d’accepter cette offre.