"Il predatore è diventato la preda": un noto bot MEV di Ethereum ha perso fino a 15 milioni di dollari dopo una trappola di token falsi
- Un noto bot MEV, JaredFromSubway, è stato hackerato su Ethereum.
- Sì, è caduto vittima della propria strategia a causa di token falsi.
- Le perdite sono state stimate nell'intervallo di $7,5 milioni-$15 milioni.
La società di analisi Blockaid ha riportato un attacco riuscito a uno dei bot MEV più noti nell'ecosistema Ethereum — jaredfromsubway.eth. L'incidente è avvenuto a giugno 2026 e ha portato a perdite che vanno da $7,5 milioni a oltre $15 milioni a seconda della metodologia di conteggio.
L'evento ha attirato l'attenzione della comunità crypto perché non si è trattato di un attacco di phishing classico o di una vulnerabilità del contratto intelligente, ma di una manipolazione della logica dell'algoritmo di trading automatizzato stesso.
Secondo Blockaid, l'attaccante è riuscito a ingannare il sistema che cerca opportunità MEV redditizie, costringendo il bot a concedere approvazioni per spendere asset a contratti di terze parti autonomamente.
"Questo non è un attacco di phishing classico e non è una vulnerabilità tradizionale del contratto intelligente della vittima," ha sottolineato Blockaid.
Come funzionava lo schema
Secondo i ricercatori, l'attaccante ha creato dozzine di token falsi e pool di liquidità che imitavano asset popolari come WETH, USDC e USDT. Token come fWETH, fUSDC e fUSDT sono stati utilizzati per questo, che sembravano potenzialmente percorsi di arbitraggio redditizi.
L'algoritmo JaredFromSubway ha identificato queste operazioni come redditizie e ha automaticamente concesso ai contratti dell'attaccante i diritti di spendere fondi. Durante le prime transazioni di test, le approvazioni sono state utilizzate immediatamente, quindi non è emersa alcuna attività sospetta.
Successivamente, l'attaccante ha cambiato la meccanica. Il bot ha continuato a concedere approvazioni, ma questa volta non sono state né utilizzate né revocate. Di conseguenza, l'attaccante ha accumulato approvazioni attive per spendere fondi.
Blockaid ha citato un esempio in cui il bot ha approvato la spesa di oltre 92 WETH all'indirizzo del contratto di aiuto dell'attaccante. Queste approvazioni sono state successivamente utilizzate per il prelievo finale di asset tramite la funzione transferFrom.
L'azienda ha notato che i fondi in WETH, USDC e USDT sono stati trasferiti nel wallet dell'attaccante dopo che ha utilizzato le approvazioni ottenute in precedenza.
"Il predatore è diventato la preda"
L'incidente ha provocato una vivace reazione nella comunità crypto a causa della reputazione di JaredFromSubway. Per molto tempo, il bot è stato uno dei più grandi esecutori dei cosiddetti attacchi sandwich sulla rete Ethereum.
Il commentatore Kyle Chassé ha dichiarato:
"Dal 2023, Jaredfromsubway.eth ha guadagnato milioni dai trader. Era il bot più famoso per gli 'attacchi sandwich' su Ethereum. Circa il 70% di tutti gli 'attacchi sandwich' sulla rete provenivano da questo wallet. Questo fine settimana è stata aperta una caccia sul bot stesso.[…] Il predatore è diventato la preda."
A sua volta, il co-fondatore di GlydeGG, Jeremy Chung, ha notato:
"Il bot MEV più famoso di Ethereum, JaredFromSubway, ha appena perso più di 15 milioni di dollari. Dopo anni di guadagni con gli 'attacchi sandwich', qualcuno ha finalmente preso vendetta."
Un analista sotto lo pseudonimo zubic_eth ha aggiunto che il bot ha effettivamente "approvato il proprio furto", poiché la sua logica automatizzata ha funzionato esattamente come era stata programmata.
Il problema MEV rimane rilevante
La storia di JaredFromSubway è diventata un ulteriore esempio dei rischi associati all'infrastruttura MEV. In precedenza, Flashbots ha dichiarato che i bot MEV sono diventati un problema sistemico per la scalabilità della blockchain, poiché possono consumare più della metà del gas disponibile sulle reti.
Un incidente simile si è verificato anche nel 2025 con Coinbase. A causa di impostazioni errate del portafoglio aziendale, l'exchange ha perso circa 300.000 dollari dopo aver concesso approvazioni pericolose mentre interagiva con un contratto del protocollo 0x. L'azienda ha poi revocato le approvazioni e modificato la configurazione del proprio portafoglio.
JaredFromSubway stesso aveva precedentemente fatto notizia ripetutamente a causa di spese per commissioni estremamente elevate. Nel novembre 2024 il bot ha pagato più di 118.000 dollari per una singola transazione su Ethereum, e a giugno dello stesso anno ha speso circa 820.000 dollari in gas in un solo giorno.
Fonte: Incrypted