#MyGateTradeStory

El bot MEV más famoso en Ethereum pierde 7,5 millones de dólares en una trampa de honeypot en la cadena
Un atacante drenó aproximadamente 7,5 millones de dólares del bot JaredFromSubway MEV, uno de los sistemas de ataques sandwich más activos en Ethereum, después de engañar al bot para que aprobara el uso de tokens que no debería haber permitido.
La empresa de seguridad Blockaid, que detectó este incidente, informó que el bot no sufrió un bug en el contrato inteligente, un ataque de phishing ni una filtración de clave privada. Por el contrario, el atacante aprovechó la lógica de búsqueda de beneficios del propio bot para llevar a cabo su acción.
Cómo fue engañado este bot MEV
El bot JaredFromSubway MEV ejecuta una estrategia automática que escanea el mempool de Ethereum en busca de oportunidades de trading rentables. Esta práctica se conoce como valor máximo extraíble.
El bot realiza frontrunning y backrunning de otras transacciones para obtener la diferencia de precio, con una táctica llamada ataque sandwich.
Este bot se hizo famoso en abril de 2023. En un día, quemó más de 1 millón de dólares en tarifas de gas, equivalente a casi el 8% del gasto total en gas de Ethereum en ese momento.
El atacante pasó semanas lanzando 66 contratos de tokens falsos. Estos tokens falsos imitaban Wrapped Ether (WETH), USD Coin (USDC) y Tether (USDT).
Para el bot, estos contratos parecían rutas de trading que buscaba. El bot cayó en la trampa y aprobó el uso de tokens en contratos auxiliares controlados por el atacante. Una sola aprobación ya entregó más de 92 WETH a ellos.
Luego, el contrato final utilizó este permiso abierto para vaciar los fondos originales del bot.
La trampa Reverse-MEV
Esta trampa convirtió la velocidad y agresividad del bot en su propia debilidad. Cazar bots MEV no es algo nuevo. En 2023, un validador malicioso drenó alrededor de 25 millones de dólares de un bot sandwich MEV.
“El contrato controlado por el atacante logró engañar al sistema de ejecución automática MEV para otorgar permisos de uso de tokens, que luego se usaron para drenar los fondos”, explicó Blockaid.
Este tipo de ataques sandwich ha sido criticado durante mucho tiempo por considerarse un impuesto invisible para los traders diarios.
Los gestores del bot estiman que las pérdidas incluso se acercan a los 15 millones de dólares. También ofrecen una recompensa de 1 millón de dólares si se recuperan los fondos. Mientras tanto, Blockaid y PeckShield estiman que el valor de los fondos drenados en la red alcanza aproximadamente 7,5 millones de dólares en forma de WETH, USDC y USDT.
La posibilidad de que el operador pueda recuperar los fondos ahora dependerá de si el atacante está dispuesto a aceptar la oferta.