De JaredFromSubway MEV-bot van Ethereum, die bekend staat om zijn automatische handelssysteem dat tokengoedkeuringen goedkeurt, raakte leeg na een aanval met gebruikte contracten. Blokkeerhulp.
Je kunt er hier meer over lezen:
- Blockaid beweert dat aanvallers de controle hadden over contracten en het geautomatiseerde systeem van JaredFromSubway voor de gek hielden om goedkeuringen te verlenen, die later werden gebruikt voor het aftappen.
- Jared claimde publiekelijk een verlies van $ 15 miljoen, terwijl Blockaid een publiek verlies schatte van bijna $ 7 miljoen.
- Crypto.news heeft de uitwisseling van JaredFromSubway met Vitalik Buterin en het zware gebruik van Ethereum-gas in 2023 eerder gekoppeld aan JaredFromSubway.
Het beveiligingsbedrijf verklaarde dat het incident geen typische phishing-aanval was en niet werd veroorzaakt door een bug rechtstreeks in het contract van het slachtoffer.
“Dit is geen klassieke phishing-aanval en geen traditionele smart-contract-kwetsbaarheid in het slachtoffercontract”, aldus Blockaid.
Volgens het bedrijf stelde de bot aanvallers in staat contracten te controleren op routes die winstgevende MEV-handel leken.
Blockaid: Goedkeuringen bleven open
Blockaid meldde dat de aanvaller de eerste routes testte waarin alle goedkeuringen waren gebruikt en dat er geen ruimte meer over was. Daarna veranderde de aanvaller de route om de bot goedkeuring te geven zonder te worden uitgegeven of ingetrokken.
Blockaid gaf als voorbeeld een goedkeuring voor 92.16 WETH voor een contract van aanvallers. Etherscan-gegevens Uit het transactierecord bleek dat jaredfromsubway.eth vóór de sweep interactie had met de MEV Bot 2. Transactiegegevens laten ook ERC-20-bewegingen zien die verband houden met de geautomatiseerde route.
WETH, USDC en USDT zijn allemaal getroffen door de laatste sweep
TransferFrom werd gebruikt om de laatste transactie te voltooien, waarbij gebruik werd gemaakt van de openstaande goedkeuringen. WETH USDC en USDT werden uit het JaredFromSubway-contract voor de MEV-robot gehaald. Etherscan liet het zien Overboekingen van en naar “jaredfromsubway: MEV Bot 2” De portemonnee van de aanvaller begint met het nummer 0x3e37.
Blockaid schatte het afgevoerde bedrag op ongeveer $ 7,5 miljoen. De JaredFromSubway-account Later werd beweerd dat het totale verlies aan geld $ 16 miljoen bedroeg. Er was een premie van $ 1 miljoen aangeboden voor de volledige terugbetaling van het geld. De onderzochte publieke posten hebben dit verschil niet volledig verklaard.
De aanvaller gebruikte de logica van de bot tegen zichzelf
Deze aanval lijkt gericht te zijn op de handelsbot zelf. MEV-bots monitoren Ethereum-transacties en ondernemen actie op transacties die winstgevend lijken. De bot keurde in dit geval de uitgaven goed omdat de door de aanvaller gecontroleerde contracten de route nuttig hadden laten lijken.
De aanvaller maakte 66 valse contracttokens die eruitzagen en werkten als WETH, USDC of USDT. Deze contracten gingen gepaard met een nep-liquiditeitspool. De bot werd naar goedkeuringen geduwd, waardoor deze in de put terechtkwam.
Het record van JaredFromSubway komt weer in beeld
JaredFromSubway, een van de populairste sandwichbots van Ethereum. Er is sprake van een sandwich-aanval wanneer een bot handelt vóór en na een ruil door een gebruiker. Het kan resulteren in een lagere prijs voor de gebruiker terwijl de bot de spread op zich neemt.
Ook kunt u lezen over de voordelen van het gebruik eerder gerapporteerd door crypto.newsHet doel van JaredFromSubway in april was een ruil tussen Vitalik Buterin, mede-oprichter van Ethereum, en Uniswap. Het volume dat voor de uitwisseling werd gebruikt, bestond uit $1,14 miljoen aan WETH via SushiSwap en Uniswap. Nieuws over Crypto.nieuws gerapporteerd in 2023 Deze bot gebruikte ongeveer 7% (of 455 ETH) van het gas van Ethereum gedurende de periode van 24 uur.
Deze exploit heeft de tokengoedkeuringen die geautomatiseerde systemen gebruiken aan het licht gebracht. Deze casus laat zien hoe een geautomatiseerd systeem dat is ontworpen om snel te reageren met open data op de markt, onveilig kan worden als de goedkeuringscontroles ontbreken. De zaak opent ook een nieuw debat over MEV, Sandwich Trades en gebruikersbescherming in Ethereum.
Vanaf nu is de openbare informatie verdeeld over het technische forum van Blockaid, gegevens over de keten en JaredFromSubway-berichten. De beoordeelde updates bevestigden geen enkel herstel.
“DagelijksCrypto is niet verantwoordelijk voor activiteiten die u buiten DagelijksCrypto uitvoert.”
