Een aanvaller heeft ongeveer $7,5 miljoen buitgemaakt van de JaredFromSubway MEV-bot, één van de meest actieve sandwich-attack systemen op Ethereum, door de bot te misleiden zodat deze toestemming gaf om tokens uit te geven die eigenlijk nooit goedgekeurd hadden mogen worden.
Beveiligingsbedrijf Blockaid, dat het incident signaleerde, gaf aan dat de bot niet getroffen was door een smart contract-bug, phishing-aanval of een lek van de privésleutel. In plaats daarvan gebruikte de aanvaller de winstlogica van de bot om hem te misleiden.
Hoe werd de MEV-bot misleid
De JaredFromSubway MEV-bot voert een automatische strategie uit die het Ethereum-mempool scant op winstgevende transacties. Deze praktijk heet maximal extractable value.
De bot voert front-running en back-running uit op andere transacties om zo het koersverschil te pakken – een tactiek die een sandwich attack wordt genoemd.
De bot werd berucht in april 2023. Op één dag gaf de bot meer dan $1 miljoen uit aan gas, wat bijna 8% was van alle Ethereum gaskosten.
De aanvaller heeft weken besteed aan het aanmaken van 66 nep-tokencontracten. Deze imiteerden Wrapped Ether (WETH), USD Coin (USDC) en Tether (USDT).
Voor de bot leken deze contracten op de normale routes waar hij op geprogrammeerd is. De bot hapte toe en keurde uitgaven goed aan hulpcontracten die onder controle stonden van de aanvaller. Alleen al met één goedkeuring gaf de bot meer dan 92 WETH prijs.
Met een laatste contract werden met deze openstaande toelatingen echt geld van de bot weggehaald.
Een omgekeerde MEV-val
De val maakte van de snelheid en agressiviteit van de bot juist een zwakte. Het jagen op MEV-bots is niet nieuw. In 2023 haalde een foute validator ongeveer $25 miljoen weg bij MEV sandwich-bots.
“Door de aanvaller beheerde contracten misleiden een automatische MEV-executiebot om token-goedkeuringen te geven die daarna worden gebruikt om geld weg te halen,” gaf Blockaid aan.
Dergelijke sandwich attacks krijgen vaak kritiek omdat ze werken als een onzichtbare belasting voor gewone handelaren.
De beheerder van de bot schat het verlies zelfs dichter bij de $15 miljoen. Ook heeft hij een beloning van $1 miljoen aangeboden aan de aanvaller als het geld wordt teruggegeven. Blockaid en PeckShield schatten dat er voor ongeveer $7,5 miljoen aan WETH, USDC en USDT werd buitgemaakt.
Of de operator nog iets kan terugkrijgen, hangt nu af van of de aanvaller op het aanbod ingaat.
