JaredFromSubway MEVボット、カウンターMEVハニーポット攻撃で1500万ドルの損失

JaredFromSubwayのイーサリアムMEVボットは、攻撃者が自動売買システムを欺き、偽造コントラクトを承認させた結果、最大1500万ドルの損失を被った。

「これは、MEVボットが使用する自動意思決定ロジックを標的にしたカウンターMEVハニーポット攻撃でした」と、ブロックチェーンセキュリティ企業Blockaidの最高技術責任者（CTO）であるRaz Niv氏は述べた。

攻撃者は数週間にわたり、Wrapped ETH、USDC、USDTを模倣した66の偽造トークンコントラクトを展開し、ボットのスキャンシステムにとって収益性が高いように見える偽の流動性プールを作成した。ボットが攻撃者管理下のヘルパーコントラクトに対してERC-20承認を付与すると、脅威行為者は1回のトランザクションでボットのトレジャリーからETH、USDC、USDTを一掃した。オンチェーンデータによると、盗まれた資金の一部はその後、Tornado Cashを通じて移動された。

この不正利用は、取引の順序付けから利益を得るために設計されたシステムであるMEVインフラが、自動承認ロジックが悪意あるコントラクトと相互作用する際に攻撃対象となり得ることを浮き彫りにしている。2024年11月から2025年10月にかけてイーサリアムのサンドイッチ攻撃の約70％に関連していたJaredFromSubwayは、当初、盗まれた資金に対して300万ドルの報奨金を提示したが、後に50％の返還を条件に750万ドルに引き上げた。

ボットの運営者はまた、ホワイトハットハッキンググループとも交渉を行っているが、合意は確認されていない。イーサリアムにおけるサンドイッチ攻撃は、年間推定6000万ドルのトレーダー損失を引き起こしており、ネットワーク上のMEV抽出総額は5月までに12億ドルを超えている。今回のインシデントは、MEV運営者に対し、自動システムがトークン検証と流動性プールの検証をどのように処理するかを見直すよう圧力を強めている。

本記事は情報提供のみを目的としており、投資助言を構成するものではありません。