MEV-бот Jaredfromsubway.eth втратив $7,5 млн: урок довірливості для автоматизованих систем
Відомий у мережі Ethereum MEV-бот під управлінням Jaredfromsubway.eth втратив понад $7,5 млн у результаті складної атаки. Інцидент стався не через класичну вразливість смарт-контракту або фішинг, а через маніпуляцію самою логікою роботи автоматизованої системи.
Як це сталося
Експерти компанії Blockaid, яка займається виявленням експлойтів, встановили, що атакуючий розгорнув десятки підроблених токен-контрактів, замаскованих під WETH, USDC та USDT. Ці контракти були пов'язані з фіктивними пулами ліквідності, які виглядали як прибуткові угоди — саме на такі цілі зазвичай реагують MEV-боти для проведення сендвіч-атак.
Система Jaredfromsubway.eth, не розпізнавши підступу, надала допоміжним контрактам зловмисника дозволи на витрату реальних активів. Після цього атакуючий однією транзакцією активував усі бекдори та вивів кошти. Частину вкрадених монет уже було відправлено в міксер Tornado Cash, як підтверджують дані аналітичної платформи Arkham.
Масштаб загрози
За оцінками, щорічні втрати трейдерів в Ethereum від сендвіч-атак становлять близько $60 млн. З листопада 2024 року по жовтень 2025 року в мережі фіксувалося від 60 000 до 90 000 подібних операцій на місяць, і близько 70% з них пов'язували саме з Jaredfromsubway.eth. Цей бот також відомий тим, що в червні 2024 року став найбільшим споживачем газу в мережі Ethereum.
Коментар експерта: Цей випадок — яскраве нагадування про те, що навіть найпросунутіші MEV-боти вразливі перед атаками на рівні довіри до даних. Зловмисники все частіше використовують не технічні вразливості, а маніпуляцію логікою прийняття рішень. Для індустрії це сигнал: автоматизовані системи мають бути навчені розпізнавати не лише прибуток, але й підозрілі патерни.