El bot JaredFromSubway, un sistema automatizado de extracción de valor máximo (MEV) en Ethereum, sufrió una pérdida de $15 millones después de que un atacante manipulara su lógica de detección de oportunidades creando señuelos de trading falsos.
El incidente fue detectado el sábado por la firma de seguridad blockchain Blockaid, y posteriormente JaredFromSubway confirmó que el atacante utilizó pools y tokens falsos para engañar al bot y lograr que aprobara contratos controlados por el atacante.
Según Blockaid, el atacante desplegó contratos diseñados para parecer oportunidades MEV rentables para el sistema de ejecución automatizada de JaredFromSubway. El bot analizaba rutas y oportunidades de trading que parecían financieramente atractivas y generaba transacciones para ejecutarlas, otorgando aprobaciones ERC-20 a contratos del atacante.
El ciberdelincuente planeó cuidadosamente el golpe: las transacciones iniciales eran pruebas inofensivas para confirmar las rutinas de acción del bot. Posteriormente, modificó la ruta para que el permiso no se consumiera ni revocara tras la aprobación. Así acumuló permisos de gasto válidos sin usarlos de inmediato, alcanzando hasta 92.1614 WETH aprobados a un contrato auxiliar controlado por el atacante.
Finalmente, el atacante utilizó las aprobaciones abiertas para retirar WETH, USDC y USDT del contrato del bot JaredFromSubway mediante la función transferFrom.
Karma contraataca
Los bots MEV son sistemas de trading automatizados ultrarrápidos que escanean Ethereum y otras blockchains para identificar oportunidades de ganancia explotando el orden y momento de las transacciones antes de que se incluyan en un bloque. JaredFromSubway es una operación MEV privada sin código público, conocida como una de las más agresivas en ataques de 'sandwich'. En un ataque sandwich, el bot detecta una transacción pendiente de un usuario, coloca una orden de compra justo antes y vende inmediatamente después, beneficiándose del movimiento de precio causado por la transacción de la víctima.
Inicialmente, JaredFromSubway ofreció una recompensa de $3 millones al atacante por la devolución completa de los fondos robados, prometiendo no tomar acciones legales. Ante la falta de respuesta, aumentó la recompensa a $7.5 millones por la devolución del 50% de lo robado, con $1 millón destinado a la comunidad. Además, JaredFromSubway negocia con 'un grupo de hackers de sombrero blanco' por los $15 millones robados, aunque no hay confirmación de un acuerdo.
