Новини криптоміра

Екосистема Ethereum знову стала ареною для складної кібератаки. Відомий MEV-бот під псевдонімом Jaredfromsubway.eth, що спеціалізується на сендвіч-атаках, втратив активи на суму понад $7,5 млн. Інцидент стався в результаті цілеспрямованої експлуатації довіреної архітектури самого бота.

Як було організовано атаку

Згідно з даними блокчейн-аналітиків, зловмисник не зламував смарт-контракти безпосередньо і не застосовував класичний фішинг. Натомість було розгорнуто мережу з десятків підроблених токен-контрактів, замаскованих під популярні ліквідні активи — WETH, USDC та USDT. Ці контракти були пов'язані з фальшивими пулами ліквідності, які імітували прибуткові торгові можливості.

Автоматизована система Jaredfromsubway.eth, налаштована на пошук арбітражних ситуацій, зреагувала на хибні сигнали. У процесі «виконання угод» бот надав допоміжним контрактам атакуючого дозволи на витрату реальних токенів. Після отримання схвалень зловмисник однією транзакцією активував усі бекдори та вивів кошти. Частину вкрадених монет уже було відправлено в міксер Tornado Cash.

Масштаб загрози та контекст

Цей випадок підкреслює вразливість навіть найдосконаліших алгоритмічних стратегій. За моїми оцінками, щорічні втрати трейдерів від сендвіч-атак у мережі Ethereum становлять близько $60 млн. Примітно, що з листопада 2024 року по жовтень 2025 року щомісяця фіксувалося від 60 000 до 90 000 подібних операцій, і близько 70% з них пов'язували саме з Jaredfromsubway.eth. У червні 2024 року цей бот навіть став найбільшим споживачем газу в мережі.

Мій аналіз: Цей інцидент — не просто хакерська атака, а демонстрація нового класу загроз для MEV-екосистеми. Зловмисники переходять від зламу контрактів до маніпуляції поведінковою логікою самих ботів. Це змушує розробників переглядати не лише код, а й принципи довіри до зовнішніх даних та симуляцій. Найближчим часом ми, ймовірно, побачимо посилення вимог до верифікації пулів ліквідності та впровадження складніших механізмів перевірки автентичності токенів.