Jaredfromsubway.eth, một trong những bot MEV thành công nhất của ngành crypto, đã bị rút sạch hơn 7,5 triệu USD sau khi kẻ tấn công biến logic thực thi tự động của bot chống lại nó. Cuộc tấn công sử dụng phương pháp “counter-MEV honeypot” (bẫy mật ong ngược MEV) khai thác hệ thống ra quyết định tự động của bot bằng cách lừa bot cấp quyền phê duyệt token cho các hợp đồng do kẻ tấn công kiểm soát. Bot MEV theo dõi các giao dịch blockchain đang chờ và tìm cách kiếm lợi bằng việc kiểm soát thứ tự giao dịch, thường thông qua các đòn “sandwich” và các chiến lược khai thác giá trị có thể tối đa khác trên Ethereum.
Sự cố này đánh dấu một bước lùi công khai hiếm gặp đối với một bot đã gắn chặt với các cuộc tấn công sandwich trên Ethereum. Với người dùng DeFi, hoạt động của bot MEV có thể vận hành như một “chi phí vô hình” gắn với giao dịch trên chuỗi.
Kẻ tấn công triển khai Counter-MEV Honeypot bằng 66 hợp đồng token giả
Cuộc tấn công không dựa trên một luồng phishing tiêu chuẩn hay một lỗ hổng trực tiếp trong các smart contract của bot. Thay vào đó, các hợp đồng do kẻ tấn công kiểm soát đã lừa hệ thống tự động của Jaredfromsubway.eth cấp các quyền phê duyệt token, sau đó được dùng để rút tiền từ kho quỹ của bot.
“Đây không phải là một cuộc tấn công phishing cổ điển và cũng không phải là một lỗ hổng smart contract truyền thống trong hợp đồng của nạn nhân”, Blockaid cho biết.
Trong vài tuần, kẻ tấn công đã triển khai 66 hợp đồng token giả, sao chép tên và giao diện của Wrapped ETH, USDC và USDT. Các token giả này sau đó được ghép với các pool thanh khoản giả, được thiết kế để trông như những cơ hội giao dịch mang lại lợi nhuận.
Giám đốc công nghệ (CTO) Blockaid, Raz Niv, mô tả sự cố là một “counter-MEV honeypot”. “Đây là một cuộc tấn công counter-MEV honeypot, vì nó nhắm trực tiếp vào logic ra quyết định tự động, giảm thiểu niềm tin mà các bot MEV sử dụng”, ông nói.
Khi Jaredfromsubway.eth tương tác với môi trường giả, nó đã phê duyệt các hợp đồng “helper” do kẻ tấn công kiểm soát để chi tiêu tài sản thật thay mặt nó. Các phê duyệt này đã tạo ra lối đi để kẻ tấn công rút tiền từ kho quỹ của bot.
“Thật trớ trêu, trong quá trình đó, nó đã trao cho kẻ tấn công chìa khóa để rút hàng triệu USD từ kho quỹ của bot”, Niv nói.
Sau đó, kẻ tấn công thực thi một giao dịch duy nhất gọi tất cả 66 “backdoor”, quét ETH, USDC và USDT khỏi các địa chỉ bị ảnh hưởng. Dữ liệu onchain cho thấy một phần số tiền bị đánh cắp sau đó đã được chuyển tới Tornado Cash, một dịch vụ trộn tiền crypto thường được dùng để che giấu dòng tiền.
Jaredfromsubway.eth gắn với 70% các cuộc tấn công Sandwich từ tháng 11/2024 đến tháng 10/2025
Jaredfromsubway.eth từ lâu đã là một trong những ví dụ nổi bật nhất về hoạt động MEV trên Ethereum. Nghiên cứu ước tính rằng các cuộc tấn công sandwich trên Ethereum đã gây ra khoảng 60 triệu USD thiệt hại hằng năm cho các nhà giao dịch. Từ tháng 11/2024 đến tháng 10/2025, các cuộc tấn công sandwich được cho là dao động từ 60.000 đến 90.000 mỗi tháng, với khoảng 70% liên quan đến Jaredfromsubway.eth.
Trong hầu hết các vụ hack DeFi, người dùng hoặc giao thức là nạn nhân trực tiếp. Trong trường hợp này, mục tiêu là một bot được xem rộng rãi như công cụ trích xuất giá trị từ các nhà giao dịch thông thường. Sự cố không loại bỏ vấn đề MEV rộng hơn, nhưng cho thấy cùng một cơ chế tự động được dùng để chụp lấy lợi nhuận có thể tạo ra rủi ro tập trung khi bot tương tác với các hợp đồng thù địch.
Cuộc tấn công cũng nhấn mạnh rằng bot tạo ra các mẫu hành vi có thể dự đoán, và kẻ tấn công có thể nghiên cứu các mẫu đó. Khi các mẫu đó liên quan đến phê duyệt, logic định tuyến hoặc tương tác lặp lại với các hợp đồng chưa rõ danh tính, thì chính bot đó có thể trở thành mục tiêu.
Đồng sáng lập Ethereum Vitalik Buterin trước đó cũng từng bị Jaredfromsubway.eth tấn công sandwich khi ông hoán đổi một lượng nhỏ DigitalBits, cho thấy ngay cả các giao dịch giá trị thấp cũng có thể bị nhắm bởi các hệ thống MEV. Khoản lỗ khi đó là rất nhỏ, nhưng ví dụ này cho thấy mức độ “bất chấp” của các bot.
Nhà đầu tư crypto và bình luận viên David Gokhshtein mô tả phản ứng công khai bằng những lời lẽ thẳng thắn. “Chúng ta không nên vui mừng về điều này; không ai nên ăn mừng … nhưng nếu bạn từng bị sandwich bởi cái này … thì tôi khá chắc bạn không buồn vì tin tức này”, ông nói.
CTO Blockaid mô tả cuộc tấn công nhắm vào logic ra quyết định tự động, giảm thiểu niềm tin
Kẻ tấn công đã dựng một cái bẫy dựa trên mô hình động cơ của chính bot. Các bot MEV được thiết kế để nhận diện và thực thi nhanh các cơ hội mang lại lợi nhuận, với việc xem xét của con người hạn chế. Trong trường hợp này, việc ra quyết định tự động đó đã trở thành bề mặt tấn công.
CTO Blockaid Raz Niv cho biết sự cố nhắm cụ thể vào logic ra quyết định tự động, giảm thiểu niềm tin mà các bot MEV sử dụng. Cấu hình này đã cho bot thứ trông giống như các giao dịch đáng để theo đuổi, khiến nó cấp các phê duyệt, và cuối cùng mang lại quyền truy cập vào hàng triệu USD trong kho quỹ của bot.
Sự cố nhiều khả năng sẽ thúc đẩy các nhà vận hành MEV xem xét cách các hệ thống tự động xử lý phê duyệt, xác minh token và kiểm tra tính hợp lệ của pool thanh khoản. Tên token giả và các giao diện quen thuộc là chưa đủ để thiết lập niềm tin, đặc biệt khi bot hoạt động ở tốc độ khiến gần như không còn chỗ cho việc kiểm tra thủ công.
FAQ
Điều gì đã xảy ra với bot MEV Jaredfromsubway.eth?
Jaredfromsubway.eth đã bị rút sạch hơn 7,5 triệu USD sau khi một kẻ tấn công dùng đòn tấn công counter-MEV honeypot. Kẻ tấn công triển khai 66 hợp đồng token giả trong vài tuần, mô phỏng Wrapped ETH, USDC và USDT, lừa bot cấp quyền phê duyệt token cho các hợp đồng do kẻ tấn công kiểm soát. Sau đó, kẻ tấn công thực thi một giao dịch duy nhất gọi tất cả 66 “backdoor” để quét tiền từ kho quỹ của bot.
Có bao nhiêu hoạt động MEV liên quan tới Jaredfromsubway.eth?
Từ tháng 11/2024 đến tháng 10/2025, các cuộc tấn công sandwich trên Ethereum được cho là dao động từ 60.000 đến 90.000 mỗi tháng, với khoảng 70% liên quan tới Jaredfromsubway.eth. Nghiên cứu ước tính rằng các cuộc tấn công sandwich trên Ethereum đã gây ra khoảng 60 triệu USD thiệt hại hằng năm cho các nhà giao dịch.
Blockaid nói gì về phương pháp tấn công?
Blockaid cho biết đây không phải là một cuộc tấn công phishing cổ điển và cũng không phải là một lỗ hổng smart contract truyền thống trong hợp đồng của nạn nhân. CTO Blockaid Raz Niv mô tả sự cố là một cuộc tấn công counter-MEV honeypot, nhắm cụ thể vào logic ra quyết định tự động, giảm thiểu niềm tin mà các bot MEV sử dụng.
