El bot MEV de Ethereum, JaredFromSubway, pierde $7.5M en un exploit

El operador de jaredfromsubway, un conocido bot de trading de Ethereum, perdió 7,5 millones de dólares el sábado después de que un exploit afectara el sistema de aprobación de transacciones del bot. La firma de seguridad Blockaid informó que un atacante utilizó tokens falsos y contratos inteligentes fraudulentos para desviar fondos legítimos del bot. El exploit ocurrió contra un bot que se ha hecho famoso por realizar ataques sandwich, una forma de manipulación del mercado en exchanges descentralizados en la que las operaciones se colocan alrededor de transacciones pendientes para obtener beneficios a costa de otros.

El atacante explotó la lógica de aprobación con tokens falsos

Blockaid explicó que el atacante presentó a jaredfromsubway oportunidades de trading engañosas que luego permitieron al mal actor drenar los fondos. El bot está diseñado para escanear continuamente operaciones rentables y, ocasionalmente, concede a entidades permiso para mover fondos en su nombre para ejecutar esas operaciones. Según Blockaid, algunas transacciones con las que se involucró jaredfromsubway revocaron esos permisos inmediatamente después de completarse, mientras que las transacciones creadas por el atacante no. “Eso dejó a los gastadores controlados por el atacante armados”, dijo Blockaid en una publicación de X. El esquema implicó tokens falsos y contratos inteligentes fraudulentos que explotaron este mecanismo de aprobación.

El operador ofrece una recompensa del 50% y amenaza con acciones legales

En un mensaje on-chain tras el ataque del sábado, el operador del bot ofreció una “recompensa de 50% white hat” por la devolución de 2.150 Ethereum, valorados actualmente en aproximadamente 3,7 millones de dólares, dentro de 48 horas. El operador amenazó con buscar recursos legales e involucrar a las autoridades policiales si los fondos no se devolvían en ese plazo.

Fondos robados depositados en Tornado Cash

La firma de seguridad PeckShield señaló en una publicación de X que el atacante comenzó a borrar rastros después del exploit. Después de robar Ethereum tokenizado y stablecoins, una parte de los fondos se intercambió y se depositó parcialmente en Tornado Cash, un recurso común para los atacantes que intentan ocultar el flujo de ganancias mal habidas.

Preguntas frecuentes

¿Qué le pasó al bot de jaredfromsubway el sábado?
El bot de jaredfromsubway perdió 7,5 millones de dólares el sábado después de que un atacante explotara su lógica de aprobación de transacciones usando tokens falsos y contratos inteligentes fraudulentos, según la firma de seguridad Blockaid.

¿Qué ofreció el operador de jaredfromsubway después del exploit?
El operador ofreció una recompensa white hat del 50% por la devolución de 2.150 Ethereum (aproximadamente 3,7 millones de dólares) dentro de 48 horas y amenazó con emprender acciones legales e involucrar a las autoridades policiales si los fondos no se devolvían.