MEV-бот Ethereum JaredFromSubway: атака с одобрениями опустошила более $17 млн

MEV-бот Ethereum под именем JaredFromSubway, по сообщениям, был скомпрометирован в результате атаки через одобрения (approval attack), в ходе которой было выведено более 17 млн долларов. Blockaid заявил, что инцидент не был вызван фишингом, кражей ключей или прямой уязвимостью смарт‑контракта. Вместо этого контракты, контролируемые атакующим, ввели в заблуждение автоматическую систему обнаружения MEV-возможностей бота, а затем инициировали одобрения токенов, что позволило злоумышленнику перемещать средства, используя уже существующие allowance. Целевыми активами называли WETH, USDC и USDT. Первоначальные оценки указывали на потерю около 7,5 млн долларов, но последующее отслеживание в блокчейне увеличило общую сумму до более чем 17 млн, при этом расхождения, вероятно, связаны с дополнительными перемещениями кошельков или задержками в трассировке транзакций. Для трейдеров главный вывод в том, что MEV-бот Ethereum может быть скомпрометирован через механику атаки одобрениями, а не через атаку на сам Ethereum. Это подчёркивает важность мониторинга экспозиции MEV, проверки рисков allowance для токенов и тщательного анализа взаимодействий с роутерами/вспомогательными контрактами — особенно при торговле парами с WETH, USDC и USDT на DEX. Дополнительные проверки кошельков/контрактов всё ещё могут скорректировать окончательную сумму потерь.