Le bot MEV Ethereum JaredFromSubway perd 7,5 M$ lors d’une exploitation

L’opérateur de jaredfromsubway, un bot de trading Ethereum bien connu, a perdu 7,5 millions de dollars samedi après un exploit visant le système d’approbation des transactions du bot. La société de sécurité Blockaid a indiqué qu’un attaquant avait utilisé des jetons contrefaits et des contrats intelligents frauduleux pour drainer des fonds légitimes depuis le bot. L’exploit a eu lieu contre un bot qui s’est fait une réputation pour avoir mené des attaques par sandwich — une forme de manipulation de marché sur des échanges décentralisés consistant à placer des ordres autour de transactions en attente afin de profiter au détriment des autres.

L’attaquant a exploité la logique d’approbation avec de faux jetons

Blockaid a expliqué que l’attaquant a présenté à jaredfromsubway des opportunités de trading trompeuses qui ont ensuite permis au mauvais acteur de drainer des fonds. Le bot est conçu pour analyser en continu les transactions rentables et accorde occasionnellement à des entités la permission de déplacer des fonds en son nom pour exécuter ces transactions. D’après Blockaid, certaines transactions auxquelles jaredfromsubway a participé ont révoqué ces autorisations immédiatement après leur exécution, tandis que les transactions créées par l’attaquant ne l’ont pas fait. « Cela a laissé des dépensiers contrôlés par l’attaquant armés », a déclaré Blockaid dans une publication sur X. Le stratagème reposait sur des jetons factices et des contrats intelligents frauduleux qui exploitaient ce mécanisme d’approbation.

L’opérateur propose une prime de 50 % et menace d’engager des poursuites

Dans un message on-chain après l’attaque de samedi, l’opérateur du bot a proposé une « prime white hat de 50 % » pour le retour de 2 150 Ethereum, d’une valeur actuelle d’environ 3,7 millions de dollars, dans un délai de 48 heures. L’opérateur a menacé d’engager des recours juridiques et d’impliquer les forces de l’ordre si les fonds n’étaient pas restitués dans ce laps de temps.

Fonds volés déposés sur Tornado Cash

La société de sécurité PeckShield a noté dans une publication sur X que l’attaquant a commencé à effacer ses traces après l’exploit. Après avoir volé des Ethereum enveloppés et des stablecoins, une partie des fonds a été échangée et partiellement déposée sur Tornado Cash, une ressource courante pour les attaquants cherchant à obscurcir la circulation de gains obtenus illicitement.

FAQ

Que s’est-il passé pour le bot jaredfromsubway samedi ?
Le bot jaredfromsubway a perdu 7,5 millions de dollars samedi après qu’un attaquant a exploité sa logique d’approbation des transactions en utilisant de faux jetons et des contrats intelligents frauduleux, selon la société de sécurité Blockaid.

Que l’opérateur de jaredfromsubway a-t-il proposé après l’exploit ?
L’opérateur a offert une prime white hat de 50 % pour le retour de 2 150 Ethereum (environ 3,7 millions de dollars) dans les 48 heures et a menacé d’engager une action en justice et d’impliquer les forces de l’ordre si les fonds n’étaient pas restitués.