Der bekannte MEV-Bot JaredFromSubway von Ethereum wurde lahmgelegt, nachdem ein Angreifer Verträge verwendet hatte, die sein automatisiertes Handelssystem dazu veranlassten, Token-Genehmigungen zu erteilen Blockade.
Zusammenfassung
- Laut Blockaid haben von Angreifern kontrollierte Verträge das automatisierte System von JaredFromSubway dazu verleitet, Genehmigungen zu erteilen, die später zum Entleeren verwendet wurden.
- Jared behauptete öffentlich einen Verlust von 15 Millionen US-Dollar, während die öffentliche Schätzung von Blockaid bei fast 7,5 Millionen US-Dollar lag.
- Crypto.news brachte JaredFromSubway zuvor mit Vitalik Buterins Swap und der starken Nutzung von Ethereum-Gas im Jahr 2023 in Verbindung.
Das Sicherheitsunternehmen sagte, der Vorfall sei kein normaler Phishing-Fall und kein direkter Fehler im Vertrag des Opfers.
„Dies ist kein klassischer Phishing-Angriff und keine traditionelle Smart-Contract-Schwachstelle im Opfervertrag“, sagte Blockaid.
Das Unternehmen sagte, der Bot habe von Angreifern kontrollierte Verträge auf Routen genehmigt, bei denen es sich offenbar um profitable MEV-Geschäfte handelte.
Laut Blockaid blieben die Genehmigungen offen
Blockaid sagte, der Angreifer habe zunächst Routen getestet, bei denen Genehmigungen sofort verwendet wurden, und ließ keine offene Genehmigung übrig. Später änderte der Angreifer das Routendesign, sodass der Bot Genehmigungen erteilte, die weder ausgegeben noch widerrufen wurden.
Ein von Blockaid angeführtes Beispiel betraf die Genehmigung eines Angreifer-Helfer-Vertrags in Höhe von etwa 92,16 WETH. Etherscan-Daten Denn die Transaktion zeigte, dass jaredfromsubway.eth vor dem späteren Sweep mit seinem MEV Bot 2-Vertrag interagierte. Der Transaktionsdatensatz zeigte auch ERC-20-Bewegungen, die mit derselben automatisierten Route verbunden waren.
Der letzte Sweep traf WETH, USDC und USDT
Die letzte Transaktion nutzte die offenen Genehmigungen, um WETH, USDC und USDT über transferFrom aus dem JaredFromSubway MEV-Bot-Vertrag zu ziehen. Etherscan zeigte Übertragungen von „jaredfromsubway: MEV Bot 2“ zur Angreifer-Wallet beginnend mit 0x3e37.
Blockaid bezifferte den abgeflossenen Betrag auf etwa 7,5 Millionen US-Dollar. Der JaredFromSubway-Konto behauptete später, der Verlust betrage 15 Millionen US-Dollar und bot ein Kopfgeld von 1 Million US-Dollar für die vollständige Rückerstattung der Gelder an. Dieser Unterschied wurde in den überprüften öffentlichen Beiträgen nicht vollständig erklärt.
Wie der Angreifer die Logik des Bots gegen ihn wendete
Der Angriff zielte offenbar auf den eigenen Handelsworkflow des Bots ab. MEV-Bots beobachten die Ethereum-Aktivitäten und reagieren auf Transaktionen, die profitabel erscheinen. In diesem Fall sorgten die von Angreifern kontrollierten Verträge dafür, dass die Route so nützlich aussah, dass der Bot Ausgabenrechte genehmigen konnte.
Der Angreifer verwendete 66 gefälschte Token-Verträge, die das Aussehen und die Funktion von WETH, USDC und USDT kopierten. Diese Verträge wurden mit gefälschten Liquiditätspools gepaart. Das Setup drängte den Bot zu Genehmigungen, die später zum Weg für den Abfluss wurden.
Der Rekord von JaredFromSubway steht wieder im Fokus
JaredFromSubway ist einer der meistgesehenen Sandwich-Bots von Ethereum. Bei einem Sandwich-Angriff platziert ein Bot Trades vor und nach dem Tausch eines Benutzers. Dies kann dem Benutzer einen schlechteren Preis bescheren, während der Bot den Spread erfasst.
Als zuvor von crypto.news berichtetJaredFromSubway zielte im April auf einen kleinen Tausch durch Ethereum-Mitbegründer Vitalik Buterin ab, bei dem etwa 1,14 Millionen US-Dollar an WETH-Volumen über SushiSwap und Uniswap V2 hinweg genutzt wurden. Auch Crypto.news im Jahr 2023 gemeldet dass der Bot innerhalb von 24 Stunden 455 ETH in Gas verbrauchte und in diesem Zeitraum etwa 7 % des Ethereum-Gasverbrauchs ausmachte.
Der Exploit lenkt nun die Aufmerksamkeit auf Token-Genehmigungen, die von automatisierten Systemen verwendet werden. Der Fall zeigt, wie ein System, das darauf ausgelegt ist, schnell auf offene Marktdaten zu reagieren, in unsichere Genehmigungen gelenkt werden kann, wenn die Kontrollen rund um Genehmigungen schwach sind. Es fügt auch ein neues Kapitel zur breiteren Debatte über MEV, Sandwich-Trades und Benutzerschutz auf Ethereum hinzu.
Vorerst bleiben die wichtigsten öffentlichen Details zwischen dem technischen Thread von Blockaid, den On-Chain-Datensätzen und Beiträgen vom JaredFromSubway-Konto aufgeteilt. In den überprüften Updates wurde keine Wiederherstellung bestätigt.
