Jaredfromsubway.eth MEVボット、偽トークン攻撃で750万ドルの被害

Jaredfromsubway.eth MEVボットは、攻撃者が偽のラッパートークンを用いてこのサンドイッチ攻撃運用者を欺き、イーサリアム上で支出承認を付与させた結果、750万ドルの損失を被った。

「攻撃者はボットの仕組みを悪用した。その自動システムは、収益性の高いMEV機会のように見えるものを検知し、攻撃者が管理するヘルパーコントラクトへの承認を生成した」と、ブロックチェーンセキュリティ企業Blockaidは本エクスプロイトの分析で述べている。

攻撃者は偽のラッパートークン——fWETH、fUSDC、fUSDT——を偽のCapトークンとペアで作成し、ボットがイーサリアム上で追跡する収益性の高いトレードのように見せかけた。Blockaidによれば、ボットが攻撃者管理のヘルパーコントラクトに対する実資産の支出承認を一度行うと、攻撃者は「最終一掃（final sweep）」を実行し、transferFromを通じて1,474.58 WETH、287万USDC、200万USDTを引き出した。PeckShieldのデータによると、換金された資金は約4,400 ETHとなり、うち1,000 ETHがTornadoCashを通じて送金された。

イーサリアムのサンドイッチ攻撃を支配していたボット——2024年11月から2025年10月の間に当該活動の約70%を占めていた——の搾取は、高度な運用者であっても、自動化された取引インフラにおける永続的なセキュリティ脆弱性を浮き彫りにしている。750万ドルの損失により、イーサリアム上のサンドイッチ攻撃量は一時的に減少する可能性があるが、自動承認メカニズムに依存するMEV戦略の安全性について、より広範な疑問を提起している。

Jaredfromsubway.ethの運用者はイーサリアム上で最も活発なサンドイッチ攻撃者であり、リテールトレーダーのスワップの前後にトランザクションを挿入して価値を搾取していた。攻撃者の手法は、基本的な設計上の隙を突いたものである。通常のトレードでは、ボットはトランザクション中に承認を使い切る。しかし、承認をオープンにしたままにする経路を巧妙に作ることで、攻撃者は一度の一掃で契約を空にするのに十分な支出権限を蓄積した。

暗号資産コメンテーターのDavid Gokhshtein氏はソーシャルメディア上で、この搾取を称賛すべきではないが、これまでボットに「サンドイッチ」されてきた人々はこのニュースに動揺しないかもしれないと述べた。市場データによると、ETHは搾取時点で1,741.21ドルで取引されており、50日指数移動平均の1,725.59ドルを上回っていた。

本記事は情報提供のみを目的としており、投資助言を構成するものではない。