En angripare tömde ungefär 7,5 miljoner USD från JaredFromSubway MEV-bot, en av Ethereums mest aktiva sandwich-attackrobotar, genom att lura den att godkänna tokenutgifter som den aldrig borde ha tillåtit.
Säkerhetsföretaget Blockaid, som upptäckte händelsen, sa att boten inte drabbades av någon smartkontrakts-bugg, nätfiskeattack eller att någon privat nyckel läckte. Istället vände angriparen botens egen vinstjakt mot den själv.
Hur MEV-boten blev lurad
JaredFromSubway MEV-bot använder en automatiserad strategi som söker igenom Ethereums mempool efter lönsamma affärer. Taktiken kallas maximal extractable value.
Boten frontar och backar andra affärer för att fånga prisdifferensen, en taktik som kallas sandwichattack.
Den blev ökänd i april 2023. På en dag förbrukade den över 1 miljon USD i gas, nästan 8 % av de totala gasutgifterna på Ethereum.
Angriparen spenderade flera veckor på att skapa 66 falska tokenkontrakt. De falska kontrakten imiterade Wrapped Ether (WETH), USD Coin (USDC) och Tether (USDT).
Boten trodde att dessa kontrakt var de vägar den skulle följa. Den tog betet och godkände utgifter till angriparens egna hjälpkontrakt. Ett godkännande gav över 92 WETH direkt till angriparen.
Ett sista kontrakt utnyttjade dessa tillstånd för att ta ut riktiga tillgångar från boten.
En omvänd MEV-fälla
Fällan förvandlade botens snabbhet och aggressivitet till en svaghet. Jaga MEV-botar är inget nytt. År 2023 tömde en värd validator cirka 25 miljoner USD från MEV sandwich-botar.
“Att angriparstyrda kontrakt lurar ett automatiserat MEV-system att ge godkännanden, som senare används för att ta ut tillgångar,” indikerade Blockaid .
Sådana sandwichattacker har länge fått kritik för att fungera som en osynlig avgift för vanliga handlare.
Bots operatör uppskattade förlusten till nästan 15 miljoner USD. Personen erbjöd även en belöning på 1 miljon USD för att få tillbaka tillgångarna. Blockaid och PeckShield värderade förlusten på kedjan till ungefär 7,5 miljoner USD i WETH, USDC och USDT.
Om operatören kan få tillbaka några pengar beror nu på om angriparen accepterar erbjudandet.
