著名なEthereumのMEVボットであるJaredfromsubway.ethが、攻撃者が管理するコントラクトを承認してしまったことで、アローワンス（送金許可）を不正利用され、750万ドル以上を失った。このインシデントは、数週間にわたって仕組まれた偽の取引ルートを通じて発生した。セキュリティ企業のBlockaidは、この攻撃が秘密鍵やプロトコルの欠陥ではなく、ボットの自動承認ロジックを標的としたものであると特定した。
2023年から活動し、Ethereumにおけるサンドイッチ攻撃の約70%を担っていたこのボットは、一見利益が出るように見える取引を承認していた。この承認により、攻撃者は後に、関連するコントラクトからラップドEther（WETH）、USDC、およびUSDTを転送することが可能となった。
オンチェーンの記録によると、約92 WETH、14万3000ドル相当のUSDC、14万9000ドル相当のUSDTが攻撃者の管理するアドレスへ送金された。一部の資金はTornado Cashを通じて送金されている。Yearn Financeの開発者であるBanteg氏は、この手口を調整用コントラクトを介したアローワンスの不正利用であると説明した。
今回の攻撃は、初期のテスト取引後に有効なままとなっていたERC-20のパーミッションを悪用したものだった。Blockaidによると、攻撃の準備段階として、実際の市場を模倣した偽のトークンや流動性プールが用意されていたという。
このボットに関連するサンドイッチ攻撃は、Ethereumのトレーダーに対し年間推定6000万ドルのコストを強いてきた。また、このボットは直近24時間のネットワーク全体のガス消費量の7%を占めていた。
