Ein Angreifer hat etwa 7,5 Millionen USD vom JaredFromSubway MEV-Bot gestohlen. Dieser Bot ist eines der aktivsten Systeme für Sandwich-Angriffe auf Ethereum. Der Angreifer brachte ihn dazu, einer Token-Ausgabe zuzustimmen, die niemals hätte genehmigt werden sollen.
Das Sicherheitsunternehmen Blockaid, das auf den Vorfall aufmerksam machte, erklärte, dass kein Smart-Contract-Fehler, kein Phishing-Angriff und auch kein privater Schlüssel geleakt wurde. Stattdessen nutzte der Angreifer die gewinnorientierte Logik des Bots gegen ihn selbst.
Wie der MEV-Bot getäuscht wurde
Der JaredFromSubway MEV-Bot nutzt eine automatisierte Strategie und durchsucht den Mempool von Ethereum nach profitablen Handelsmöglichkeiten. Diese Praxis ist als Maximal Extractable Value bekannt.
Der Bot führt Front-Running und Back-Running durch, um von Kursunterschieden zu profitieren. Diese Taktik wird als Sandwich-Angriff bezeichnet.
Im April 2023 wurde der Bot bekannt. An einem Tag verbrauchte er über 1 Million USD für Gas, das entsprach fast 8% des gesamten Ethereum-Gasverbrauchs.
Der Angreifer stellte über mehrere Wochen 66 gefälschte Token-Verträge bereit. Diese Fälschungen ahmten Wrapped Ether (WETH), USD Coin (USDC) und Tether (USDT) nach.
Für den Bot sahen die Verträge wie normale Handelsrouten aus. Er fiel darauf herein und genehmigte Token-Ausgaben an vom Angreifer kontrollierte Hilfsverträge. Bei einer Genehmigung wurden alleine über 92 WETH freigegeben.
Ein letzter Vertrag nutzte diese offenen Genehmigungen, um echte Guthaben vom Bot abzuheben.
Eine umgekehrte MEV-Falle
Die Falle machte die Geschwindigkeit und Aggressivität des Bots zu seiner Schwäche. Die Jagd auf MEV-Bots ist nicht neu. Im Jahr 2023 entwendete ein betrügerischer Validator rund 25 Millionen USD von MEV-Sandwich-Bots.
„Angreiferkontrollierte Verträge täuschen ein automatisiertes MEV-Execusionssystem und bewegen es dazu, Token-Genehmigungen zu erteilen, die später zum Abheben von Geldern genutzt werden”, wie Blockaid mitteilte.
Sandwich-Angriffe wie diese werden seit Langem kritisiert, weil sie als unsichtbare Steuer für gewöhnliche Trader wirken.
Der Betreiber des Bots schätzte den Verlust auf fast 15 Millionen USD. Er bot zudem eine Belohnung von 1 Million USD für die Rückgabe der Vermögenswerte an. Blockaid und PeckShield bewerteten den tatsächlichen Abfluss auf der Blockchain allerdings auf etwa 7,5 Millionen USD in WETH, USDC und USDT.
Ob der Betreiber überhaupt Gelder zurückerhält, hängt nun davon ab, ob der Angreifer dieses Angebot annimmt.
