Famigerato bot “sandwich attack” Jaredfromsubway.eth sfruttato per bottino di $7,5 milioni

Uno dei bot MEV di maggior successo nel mondo delle criptovalute, Jaredfromsubway.eth, è stato svuotato di oltre 7,5 milioni di dollari: un hacker ha sfruttato i sistemi automatizzati del bot, gli stessi che nel corso degli anni gli hanno fruttato centinaia di milioni.

Secondo Blockaid, l’incidente di sabato è stato causato da contratti controllati dall’autore dell’attacco che hanno indotto il bot del sistema di esecuzione automatizzato MEV (valore massimo estraibile) di Jaredfromsubway.eth a concedere approvazioni di token che sono state successivamente utilizzate per sottrarre i fondi.

“Non si tratta di un classico attacco di phishing né di una tradizionale vulnerabilità dello smart contract della vittima”, ha affermato Blockaid su X.

Si tratta di una rara battuta d’arresto per i bot MEV come Jaredfromsubway.eth, programmi automatizzati che monitorano le transazioni non confermate sulle reti blockchain e ne manipolano l’ordine per trarne profitto, una sorta di “tassa invisibile” a carico degli utenti DeFi.

Cointelegraph Research aveva precedentemente rilevato che gli attacchi sandwich su Ethereum hanno causato perdite annuali pari a circa 60 milioni di dollari per i trader. La ricerca ha inoltre rilevato che, tra novembre 2024 e ottobre 2025, si sono verificati da 60.000 a 90.000 attacchi sandwich al mese, di cui circa il 70% associato a Jaredfromsubway.eth.

Come è stato violato il sito Jaredfromsubway.eth

“Si è trattato di un attacco ‘honeypot’ contro il MEV, poiché ha preso di mira specificatamente la logica decisionale automatizzata e a fiducia minima utilizzata dai bot MEV”, ha dichiarato a Cointelegraph Raz Niv, direttore tecnico di Blockaid.

Nel corso di diverse settimane, l’autore dell’attacco ha distribuito 66 contratti di token falsi che imitavano i nomi e le interfacce di Wrapped ETH (WETH), USDC (USDC) e USDt (USDT), abbinandoli poi a pool di liquidità fasulli, ha spiegato Niv.

Le contraffazioni erano state progettate per sembrare operazioni redditizie, proprio il tipo che i bot MEV sono programmati per perseguire. Ciò ha indotto il bot di Jaredfromsubway a fare ciò per cui era stato progettato, approvando alcuni contratti ausiliari controllati dall’autore dell’attacco per spendere denaro reale per suo conto.

“Ironia della sorte, nel farlo, ha fornito all’autore dell’attacco le chiavi per accedere a milioni presenti nella tesoreria del bot”, ha aggiunto.

«E poi, con un’unica transazione, l’autore dell’attacco ha attivato tutte e 66 le backdoor e ha sottratto tutti gli ETH, gli USDC e gli USDT presenti su questi indirizzi, per un valore complessivo di milioni di dollari.»

Parte dei fondi rubati è già stata inviata al servizio di mixing di criptovalute Tornado Cash, secondo i dati on-chain.

A maggio, il cofondatore di Ethereum Vitalik Buterin è stato vittima di un attacco “sandwich” da parte di Jaredfromsubway.eth mentre effettuava lo swap di 26.544 DigitalBits (del valore di 2,11 dollari al momento della stesura di questo articolo). Le perdite sono state minime, ma dimostrano che anche le transazioni più piccole possono essere bersaglio dei bot MEV.

«Non dovremmo rallegrarci di questo; nessuno dovrebbe festeggiare... ma se siete mai stati vittime di un attacco “sandwich” di questo tipo... sono abbastanza sicuro che questa notizia non vi dispiaccia», ha affermato l’investitore e commentatore di criptovalute David Gokhshtein.