Крупнейший MEV-бот Ethereum потерял $7,5 млн в результате сложной атаки
Известный в сети Ethereum MEV-бот Jaredfromsubway.eth стал жертвой изощренной атаки, потеряв более $7,5 млн. Инцидент вскрыл новую грань уязвимостей в автоматизированных стратегиях извлечения максимальной стоимости (MEV).
Как была проведена атака
Эксперты по безопасности из Blockaid классифицируют этот случай не как классическую фишинговую атаку или стандартную уязвимость смарт-контракта. Злоумышленник действовал через десятки поддельных токен-контрактов, замаскированных под популярные активы — WETH, USDC и USDT. Эти контракты были связаны с фейковыми пулами ликвидности, которые имитировали прибыльные торговые возможности.
Автоматизированная система MEV-бота, запрограммированная на поиск таких арбитражных ситуаций, была обманута и выдала вспомогательным контрактам атакующего разрешения на трату реальных активов. В результате одной транзакцией злоумышленник активировал все бэкдоры и вывел средства. Часть похищенных монет уже была отправлена в миксер Tornado Cash.
Масштаб угрозы и роль Jaredfromsubway.eth
Этот бот долгое время был доминирующим игроком на рынке MEV. По моим данным, ежегодные потери трейдеров в Ethereum от сэндвич-атак составляют около $60 млн. С ноября 2024 года по октябрь 2025 года в сети фиксировалось от 60 000 до 90 000 таких операций ежемесячно, причем примерно 70% из них связывали именно с Jaredfromsubway.eth.
Интересно, что в июне 2024 года этот же бот был крупнейшим потребителем газа в сети Ethereum, что подчеркивает его агрессивную стратегию.
Мой анализ: Этот инцидент — серьезный звонок для всего MEV-сообщества. Он демонстрирует, что даже самые опытные и технически оснащенные боты уязвимы перед атаками, которые эксплуатируют не код, а логику их работы. Создание фейковых пулов и токенов — это эволюция фишинга на уровне смарт-контрактов, и в ближайшее время мы, вероятно, увидим больше подобных атак на автоматизированные системы.