En angriper tappet omtrent $ 7,5 millioner fra JaredFromSubway MEV-boten, et av Ethereums mest aktive sandwich-angrepssystemer, etter å ha lurt den til å godkjenne token-bruk den aldri skulle ha gitt tillatelse til.
Sikkerhetsselskapet Blockaid, som varslet om hendelsen, opplyste at boten ikke ble rammet av en smartkontrakt-feil, et phishing-angrep eller lekkasje av privat nøkkel. I stedet snudde angriperen botens egen profittlogikk mot den selv.
Slik ble MEV-boten lurt
JaredFromSubway MEV-boten kjører en automatisert strategi som skanner Ethereums mempool etter lønnsomme handler. Praksisen er kjent som maximal extractable value.
Boten frontrunner og backrunner andre handler for å fange prisdifferansen, en taktikk kalt sandwich-angrep.
Den ble beryktet i april 2023. På én dag brukte den over $ 1 million i gass, nær 8 % av all Ethereum gassbruk.
Angriperen brukte flere uker på å lansere 66 falske token-kontrakter. Disse lot som de var Wrapped Ether (WETH), USD Coin (USDC) og Tether (USDT).
For boten så disse kontraktene ut som rutene den var programmert til å jakte på. Den tok agnet og godkjente token-bruk til angriperen sine hjelpekontrakter. Én godkjenning alene ga mer enn 92 WETH.
En siste kontrakt brukte deretter disse åpne tillatelsene til å tømme ekte midler fra boten.
En omvendt MEV-felle
Fellen gjorde botens hastighet og aggresjon om til en svakhet. Å jakte MEV-boter er ikke noe nytt. I 2023 tapte slike sandwich-boter ca. $ 25 millioner til en ondsinnet validator, ifølge rapporter.
“angriper-kontrollerte kontrakter lurer et automatisk MEV-system til å godkjenne tokenbruk, som senere brukes til å tømme midler,” indikerte Blockaid .
Sandwich-angrep som dette har lenge fått kritikk for å være en usynlig skatt på vanlige tradere.
Boteieren hevder tapet nærmer seg $ 15 millioner. De tilbyr også en dusør på $ 1 million for å få tilbake midlene. Blockaid og PeckShield mener tyveriet på kjeden var nær $ 7,5 millioner i WETH, USDC og USDT.
Nå kan det å få tilbake noe som helst avhenge av om angriperen godtar tilbudet.
