サンドイッチ製機ロボットのJaredFromSubwayが偽のコントラクトのハニーポット清算で、損失は約750万米ドル

安全企業Blockaidは6月21日に公開し、イーサリアムのオンチェーン上で悪名高いサンドイッチ攻撃ボット「JaredFromSubway」が、攻撃者によって数週間かけて展開された66個の偽造代替コントラクトを利用して精巧に仕込んだハニーポットに攻撃されました。ボットの自動的な利益追求ロジックを利用して、攻撃者が管理する支出許可の承認を誘導し、最終的にボットのウォレット内の本物の資産を一括で出金することに成功しました。

66個の偽造代替コントラクトの展開と攻撃ロジック

攻撃者の準備は数週間にわたり、66個の偽造代替コントラクトを順次展開し、その見た目はWrapped Ether（WETH）、USD Coin（USDC）、Tether（USDT）の3つの主要資産を精密に模倣していました。

JaredFromSubwayの中核ロジックは、イーサリアムのメモリプールを継続的にスキャンし、自動で高流動性トークンの裁定取引ルートを識別して追随することです。これらの偽コントラクトは、ボットの目には本物のルートとまったく区別がつかず、いつも通り「機会を嗅ぎ当てる」と、攻撃者が管理する補助コントラクトへのトークン支出を承認します。

Blockaidは次のように指摘しています。「攻撃者が支配するコントラクトが自動MEV実行システムをだまし、トークンの承認を与えさせたのです。これらの承認はその後、資金の引き出しに利用されました。」単発の承認だけでも92WETH以上を差し出したといいます。最後のコントラクトは、すでに開かれていたこれらの承認を利用して、ボットのウォレット内の本物の資産を一括で一掃します。オンチェーン取引はEtherscanで確認できます。

JaredFromSubwayの戦績：全盛期の総売上は3,400万〜4,000万ドル超

JaredFromSubwayは2023年初めから活動しており、すでに数十万回規模のサンドイッチ攻撃を実行しています。収益のピーク時の総売上は推定で3,400万〜4,000万ドルです。MEVが最も猖獗を極めた時期には、イーサリアム全ネットワークのサンドイッチ攻撃のうち約70%がこのボットからでした。

2026年5月、JaredFromSubwayはVitalik Buterinのトークン交換に対してサンドイッチ攻撃を仕掛け、114万ドル超のWETHを使って挟み込みを行いました。この件は広く注目を集めました。類似の「MEVボットによる狩り」事件は初めてではありません。2023年には悪意のあるバリデーターが同じロジックを用いて、複数のサンドイッチ・ボットから約2,500万ドルを抜き取ったことがありました。今回の手口はさらに精密で、単点突破ではなく66個の偽コントラクトを用いています。

損失額の2つのバージョン：オンチェーン750万ドル vs 設計者が主張する1,500万ドル

BlockaidとPeckShieldのオンチェーン分析はいずれも、損失を約750万ドルとしています。JaredFromSubwayの設計者は事後に、直接的にオンチェーンで目に見える部分以外も含めれば総損失は約1,500万ドルに達すると主張し、攻撃者が資金を返還することを条件に100万ドルの賞金を提示したとしています。

よくある質問

攻撃者は、JaredFromSubwayが知らないうちにトークン許可を付与させるにはどうしたの？

Blockaidの分析によると、攻撃者が展開した66個の偽コントラクトは、見た目が完全に本物の高流動性資産（WETH、USDC、USDT）を模倣しており、ボットの自動スキャン・ロジックにとっては本物のルートと何ら区別がつかないとのことです。ボットが自動で「裁定取引の機会」を識別し、トークン支出を承認した後、攻撃者の最後のコントラクトが、そのすでに開かれていた承認を利用して本物の資産を一括でスイープします。脆弱性の原因はコードの欠陥ではなく、ボット自身の利益追求ロジックにあるとされています。

JaredFromSubwayの100万ドルの懸賞で資金は取り戻せる？

報道によれば、JaredFromSubwayの設計者が100万ドルの懸賞を提示しているとはいえ、過去の事例を見る限り、この種の攻撃事件で資金が返還される確率は非常に低いとのことです。記事では「現時点でこのお金を取り戻せる可能性は高くない」と指摘しています。

なぜ安全企業Blockaidと設計者の損失見積もりの差がこんなに大きいの？（750万 vs 1,500万）

報道によると、BlockaidとPeckShieldのオンチェーン分析では、直接確認できるオンチェーン資産の損失のみ追跡できた（約750万ドル）一方で、JaredFromSubwayの設計者が主張する1,500万ドルには直接的にオンチェーンで見えない部分が含まれているとされていますが、具体的な内訳はまだ公開されていません。