Sandwich Bot Jaredfromsubway.eth Mất 7,5 triệu đô la vào chính logic giao dịch của nó - Unchained

Jaredfromsubway.eth, một trong những bot tối đa hóa giá trị khai thác (MEV) nổi tiếng nhất của Ethereum, đã mất hơn 7,5 triệu đô la sau khi một kẻ tấn công lợi dụng chính logic giao dịch của bot này, theo công ty an ninh Blockaid.

Bot này được xây dựng để thực hiện các cuộc tấn công sandwich, một loại MEV trong đó một nhà giao dịch tự động phát hiện một giao dịch đang xếp hàng, chen vào trước nó, đẩy nạn nhân vào mức giá tệ hơn, và sau đó thoái lui vị thế ngay lập tức. Blockaid cho biết đây không phải là một chiến dịch lừa đảo thông thường hoặc một lỗi trong hợp đồng nạn nhân. Trong nhiều tuần, kẻ tấn công đã tạo ra các hợp đồng token giả và các bể thanh khoản giả, bao gồm các tuyến fWETH, fUSDC, và fUSDT giả mạo đi kèm với các token fCAP giả, trông giống như các giao dịch có lợi nhuận.

Câu chuyện này là một đoạn trích từ bản tin hàng ngày Unchained Daily.

Đăng ký tại đây để nhận các cập nhật này qua email miễn phí

Bot này đã xem những cơ hội đó như các cơ hội MEV và cấp phép phê duyệt chi tiêu cho các hợp đồng trợ giúp do kẻ tấn công kiểm soát. Các tuyến thử nghiệm ban đầu đã tiêu thụ các phê duyệt ngay tại chỗ, nhưng các tuyến sau cố ý để chúng bị treo, tạo điều kiện cho kẻ tấn công di chuyển quỹ. Theo Blockaid, bot đã phê duyệt khoảng 92,16 WETH cho một hợp đồng trợ giúp của kẻ tấn công, và một lần quét cuối cùng đã sử dụng các khoản cho phép mở để rút WETH, USDC, và USDT qua transferFrom. CoinDesk đưa tin rằng một phần lợi nhuận sau đó đã được chuyển qua Tornado Cash.

Các cuộc tấn công sandwich gây thiệt hại khoảng 60 triệu đô la mỗi năm cho các nhà giao dịch Ethereum, và khoảng 70% trong số đó có nguồn gốc từ jaredfromsubway.eth, hoạt động từ đầu năm 2023. Một lần bot này đã tiêu tốn 1,14 triệu đô la để frontrun một giao dịch hoán đổi nhỏ của Vitalik Buterin chỉ với vài đô la lợi nhuận. Vụ rút tiền này còn liên quan đến vụ tấn công năm 2023, trong đó một validator độc ác đã rút 25 triệu đô la từ các bot sandwich.

Trong một tin nhắn onchain ngày 22 tháng 6, ví Jared đã đề nghị kẻ tấn công một phần thưởng trắng-hat 50% để trả lại 2.150 ETH trong vòng 48 giờ, nếu không sẽ có hành động pháp lý và thực thi pháp luật.

Nghe liên quan: Có phải ‘Tất cả DeFi đều không an toàn’? Những điều bạn cần biết về việc giữ tài sản trên chuỗi