Um atacante roubou cerca de 7,5 milhões de dólares do bot JaredFromSubway MEV, um dos sistemas de ataque sandwich mais ativos no Ethereum, depois de enganá-lo para aprovar a emissão de tokens que ele nunca deveria ter aceitado.
A empresa de segurança Blockaid, que relatou o incidente, afirma que o bot não foi vítima de um erro no smart contract, phishing ou vazamento de chave privada. O atacante usou a lógica de lucro do bot contra ele mesmo.
Como enganaram o bot MEV
O bot JaredFromSubway MEV executa uma estratégia automática. Ele escaneia o mempool do Ethereum em busca de transações lucrativas. Essa prática é chamada de maximização do valor extraível.
O bot realiza front-run e back-run em outras transações para capturar diferenças de preços. Essa tática é conhecida como ataque sandwich.
Ele se tornou notório em abril de 2023. Em um único dia, queimou mais de 1 milhão de dólares em gás, o que representa quase 8% de todo o consumo de gás do Ethereum.
Eu lembro que em 2023 o jaredfromsubway estava fazendo cerca de 1 milhão de dólares por dia front-run traders de memecoin, era realmente fascinante https://t.co/udufw39Zry pic.twitter.com/KL5q4ZIfrq
— good (@thenarrator) 20 de junho de 2026
O atacante implementou 66 contratos falsos de tokens ao longo de semanas. As falsificações imitavam Wrapped Ether (WETH), USD Coin (USDC) e Tether (USDT).
#PeckShieldAlert O Specter relatou que o bot #MEV #JaredFromSubway parece ter sido drenado de cerca de 7,5 milhões de dólares em cripto, incluindo 1.474,58 $WETH, 2,87M $USDC e 2M $USDT. O atacante trocou os fundos roubados por 4,4K ETH e já depositou 1K ETH no #TornadoCash pic.twitter.com/qY6IVDdnGJ
— PeckShieldAlert (@PeckShieldAlert) 20 de junho de 2026
Para o bot, esses contratos pareciam rotas que ele deveria seguir. Ele foi enganado e aprovou a emissão de tokens para contratos auxiliares pertencentes ao atacante. Uma transação aprovada transferiu mais de 92 WETH.
O contrato final aproveitou permissões abertas para limpar fundos reais do bot.
Armadilha de reverse MEV
A armadilha transformou a velocidade e a agressividade do bot em fraqueza. A caça aos bots MEV não é nada nova. Em 2023, um validador desonesto roubou cerca de 25 milhões de dólares de bots sandwich MEV.
“Os contratos controlados pelo atacante enganaram o sistema automático de execução de MEV para aprovar tokens, que foram posteriormente usados para limpar os fundos.”
Esses ataques sandwich têm sido criticados há muito tempo, agindo como um imposto invisível sobre traders normais.
O operador do bot estimou a perda em cerca de 15 milhões de dólares. Ele também ofereceu uma recompensa de 1 milhão de dólares pela devolução dos fundos. A Blockaid e a PeckShield avaliaram os fundos perdidos on-chain em cerca de 7,5 milhões de dólares em WETH, USDC e USDT.
O sucesso em recuperar pelo menos parte dos fundos pode agora depender da aceitação dessa oferta pelo atacante.