"Le prédateur est devenu la proie": un bot MEV Ethereum bien connu a perdu jusqu'à 15 millions de dollars après un piège à faux jetons
- Un bot MEV bien connu, JaredFromSubway, a été piraté sur Ethereum.
- Oui, il est tombé victime de sa propre stratégie à cause de faux tokens.
- Les pertes étaient estimées entre 7,5 millions et 15 millions de dollars.
La société d'analytique Blockaid a rapporté une attaque réussie contre l'un des bots MEV les plus connus de l'écosystème Ethereum — jaredfromsubway.eth. L'incident s'est produit en juin 2026 et a entraîné des pertes allant de 7,5 millions à plus de 15 millions de dollars selon la méthodologie de comptage.
L'événement a attiré l'attention de la communauté crypto car ce n'était pas une attaque de phishing classique ou une vulnérabilité de contrat intelligent, mais une manipulation de la logique de l'algorithme de trading automatisé lui-même.
Selon Blockaid, l'attaquant a réussi à tromper le système qui recherche des opportunités MEV rentables, forçant le bot à accorder des autorisations pour dépenser des actifs à des contrats tiers de son propre chef.
"Ce n'est pas une attaque de phishing classique et ce n'est pas une vulnérabilité traditionnelle du contrat intelligent de la victime," a souligné Blockaid.
Comment le schéma fonctionnait
Selon les chercheurs, l'attaquant a créé des dizaines de faux tokens et de pools de liquidité qui imitaient des actifs populaires tels que WETH, USDC et USDT. Des tokens tels que fWETH, fUSDC et fUSDT ont été utilisés à cet effet, qui ressemblaient à des routes d'arbitrage potentiellement rentables.
L'algorithme JaredFromSubway a identifié ces opérations comme rentables et a automatiquement accordé aux contrats de l'attaquant les droits de dépenser des fonds. Lors des premières transactions de test, les approbations ont été utilisées immédiatement, donc aucune activité suspecte n'est apparue.
Plus tard, l'attaquant a changé la mécanique. Le bot a continué à accorder des approbations, mais cette fois-ci, elles n'ont été ni utilisées ni révoquées. En conséquence, l'attaquant a accumulé des approbations actives pour dépenser des fonds.
Blockaid a cité un exemple dans lequel le bot a approuvé des dépenses de plus de 92 WETH à l'adresse du contrat d'aide de l'attaquant. Ces approbations ont ensuite été utilisées pour le retrait final des actifs via la fonction transferFrom.
La société a noté que des fonds en WETH, USDC et USDT ont été transférés vers le portefeuille de l'attaquant après qu'il ait utilisé les approbations obtenues précédemment.
"Le prédateur est devenu la proie"
L'incident a provoqué une vive réaction dans la communauté crypto en raison de la réputation de JaredFromSubway. Pendant longtemps, le bot a été l'un des plus grands exécutants des soi-disant attaques sandwich sur le réseau Ethereum.
Le commentateur Kyle Chassé a déclaré :
"Depuis 2023, Jaredfromsubway.eth a gagné des millions grâce aux traders. C'était le bot le plus célèbre pour les 'attaques sandwich' sur Ethereum. Environ 70 % de toutes les 'attaques sandwich' sur le réseau provenaient de ce portefeuille. Ce week-end, une chasse a été ouverte sur le bot lui-même.[…] Le prédateur est devenu la proie."
Pour sa part, le co-fondateur de GlydeGG, Jeremy Chung, a noté :
"Le bot MEV le plus célèbre d'Ethereum, JaredFromSubway, vient de perdre plus de 15 millions de dollars. Après des années à gagner grâce aux 'attaques sandwich', quelqu'un a enfin pris sa revanche."
Un analyste sous le pseudonyme zubic_eth a ajouté que le bot a effectivement "approuvé son propre vol", puisque sa logique automatisée a fonctionné exactement comme elle avait été programmée.
Le problème MEV reste pertinent
L'histoire de JaredFromSubway est devenue un autre exemple des risques associés à l'infrastructure MEV. Plus tôt, Flashbots a déclaré que les bots MEV sont devenus un problème systémique pour l'évolutivité de la blockchain, car ils peuvent consommer plus de la moitié du gaz disponible sur les réseaux.
Un incident similaire s'est également produit en 2025 avec Coinbase. En raison de paramètres erronés du portefeuille d'entreprise, l'échange a perdu environ 300 000 dollars après avoir accordé des approbations dangereuses lors de l'interaction avec un contrat du protocole 0x. L'entreprise a ensuite révoqué les approbations et modifié la configuration de son portefeuille.
JaredFromSubway lui-même avait précédemment fait les gros titres à plusieurs reprises en raison de frais extrêmement élevés. En novembre 2024, le bot a payé plus de 118 000 dollars pour une seule transaction sur Ethereum, et en juin de la même année, il a dépensé environ 820 000 dollars en gaz en une seule journée.
Source : Incrypted