Что произошло с MEV-ботом Ethereum
По данным Blockaid, MEV-бот Ethereum jaredfromsubway.eth подвергся атаке, в результате которой потери составили от $7,5 млн до $15 млн. Инцидент произошел в июне 2026 года. Аналитики назвали его не классической фишинговой атакой и не уязвимостью смарт-контракта жертвы. Злоумышленник манипулировал логикой автоматизированного алгоритма, вынудив бота самостоятельно предоставить разрешения на расходование средств посторонним контрактам.
Схема включала создание десятков фальшивых токенов и пулов ликвидности, имитировавших популярные активы — WETH, USDC, USDT. Использовались обозначения fWETH, fUSDC, fUSDT. Алгоритм распознал операции как выгодные арбитражные маршруты и автоматически выдал разрешения. На начальном этапе тестовые транзакции расходовали одобренные лимиты сразу, что не вызывало подозрений. Позднее атакующий изменил тактику: бот продолжал выдавать разрешения, но они не использовались и не отзывались. Таким образом накопились активные права на перемещение средств. Blockaid привела пример транзакции, в которой бот согласовал расходование более 92 WETH на вспомогательный адрес злоумышленника. Накопленные разрешения затем применили для финального вывода активов через функцию transferFrom.
«Это не классическая фишинговая атака и не традиционная уязвимость смарт-контракта жертвы», — подчеркнули в Blockaid.
Контекст
JaredFromSubway — один из самых известных MEV-ботов в экосистеме Ethereum. Понятие MEV (Maximal Extractable Value, максимальная извлекаемая ценность) описывает дополнительную прибыль, которую участники сети могут получать за счет управления порядком транзакций в блоке. Бот длительное время выступал в роли крупнейшего исполнителя сэндвич-атак — тактики опережения и следования за целевой сделкой для извлечения разницы курсов.</p