O Jaredfromsubway.eth, um proeminente bot de MEV na Ethereum, perdeu mais de US$ 7,5 milhões após aprovar contratos controlados por atacantes que permitiram o dreno de permissões. O incidente ocorreu por meio de uma série de rotas de negociação falsas configuradas ao longo de várias semanas. A empresa de segurança Blockaid identificou que a exploração visou a lógica de aprovação automatizada do bot, em vez de chaves privadas ou falhas de protocolo.
O bot, ativo desde 2023 e responsável por cerca de 70 por cento dos ataques do tipo 'sandwich' na Ethereum, aprovou transações que pareciam lucrativas. Essas aprovações permitiram que o atacante transferisse posteriormente Wrapped Ether, USDC e USDT de contratos associados.
Registros on-chain mostram transferências de cerca de 92 WETH, US$ 143.000 em USDC e US$ 149.000 em USDT para um endereço controlado pelo atacante. Parte dos fundos foi encaminhada pelo Tornado Cash. O desenvolvedor da Yearn Finance, Banteg, descreveu a operação como um dreno de permissões executado por meio de um contrato coordenador.
O ataque explorou permissões ERC-20 que permaneceram ativas após transações de teste iniciais. A Blockaid observou que a configuração envolveu tokens e pools de liquidez falsificados que imitavam mercados reais.
Ataques 'sandwich' vinculados ao bot impuseram um custo estimado de US$ 60 milhões anuais aos traders da Ethereum. O bot representou 7 por cento do uso total de gas na rede em um período recente de 24 horas.
