Крах гіганта: MEV-бот Jaredfromsubway.eth втратив $7,5 млн внаслідок витонченої атаки
Один із найвідоміших і найагресивніших MEV-ботів у мережі Ethereum, відомий під псевдонімом Jaredfromsubway.eth, зазнав катастрофічних втрат. У результаті складної хакерської атаки зловмиснику вдалося вивести активи на суму, що перевищує $7,5 млн.
Як було проведено атаку?
Це не був стандартний злам смарт-контракту або класична фішингова атака. Атакуючий застосував набагато витонченішу тактику. Він розгорнув десятки підроблених токен-контрактів, замаскованих під популярні ліквідні активи — WETH, USDC та USDT. Ці фальшиві токени були пов'язані з підробленими пулами ліквідності, які виглядали як привабливі та прибуткові угоди.
Саме на такі «прибуткові» можливості й націлені MEV-боти, які шукають арбітраж та можливості для сендвіч-атак. Автоматизована система Jaredfromsubway.eth, розпізнавши «вигідну» угоду, надала допоміжним контрактам зловмисника дозволи на витрату реальних активів. Щойно дозволи були отримані, хакер однією транзакцією активував усі закладені бекдори та миттєво вивів кошти. Частину викрадених монет уже було відправлено в криптоміксер Tornado Cash для приховування слідів.
Контекст і вплив
Jaredfromsubway.eth тривалий час домінував у сфері MEV на Ethereum, особливо в сегменті сендвіч-атак. Згідно з моїми даними, з листопада 2024 року по жовтень 2025 року в мережі щомісяця фіксувалося від 60 000 до 90 000 таких операцій, і близько 70% із них припадало саме на цей бот. Щорічні втрати трейдерів від сендвіч-атак оцінюються приблизно в $60 млн.
Примітно, що ще в червні 2024 року цей бот був найбільшим споживачем газу в мережі Ethereum, що підкреслює його масштаб і агресивність.
Мій аналіз: Цей інцидент — яскравий приклад того, як навіть найскладніші та найприбутковіші автоматизовані системи можуть бути обмануті. Атака була не технічним зламом коду, а експлуатацією самої логіки роботи MEV-бота, його «жадібності» до прибутку. Це серйозний сигнал для всієї спільноти розробників MEV-стратегій: необхідно впроваджувати глибшу верифікацію контрактів і пулів ліквідності, а не покладатися виключно на поверхневі ознаки прибутковості. Втрата $7,5 млн — болісний, але повчальний урок.