- Um bot MEV bem conhecido, JaredFromSubway, foi hackeado na Ethereum.
- Sim, ele caiu vítima de sua própria estratégia por causa de tokens falsos.
- As perdas foram estimadas na faixa de $7,5 milhões a $15 milhões.
A empresa de análises Blockaid relatou um ataque bem-sucedido a um dos bots MEV mais conhecidos no ecossistema Ethereum — jaredfromsubway.eth. O incidente ocorreu em junho de 2026 e levou a perdas variando de $7,5 milhões a mais de $15 milhões, dependendo da metodologia de contagem.
O evento chamou a atenção da comunidade cripto porque não foi um ataque de phishing clássico ou uma vulnerabilidade de contrato inteligente, mas uma manipulação da lógica do próprio algoritmo de negociação automatizada.
De acordo com a Blockaid, o atacante conseguiu enganar o sistema que busca oportunidades lucrativas de MEV, forçando o bot a conceder aprovações para gastar ativos em contratos de terceiros por conta própria.
"Este não é um ataque de phishing clássico e não é uma vulnerabilidade tradicional do contrato inteligente da vítima," enfatizou a Blockaid.
Como o esquema funcionava
De acordo com os pesquisadores, o atacante criou dezenas de tokens falsos e pools de liquidez que imitavam ativos populares como WETH, USDC e USDT. Tokens como fWETH, fUSDC e fUSDT foram usados para isso, que pareciam rotas de arbitragem potencialmente lucrativas.
O algoritmo JaredFromSubway identificou essas operações como lucrativas e automaticamente concedeu aos contratos do atacante os direitos de gastar fundos. Durante as primeiras transações de teste, as aprovações foram usadas imediatamente, então nenhuma atividade suspeita surgiu.
Mais tarde, o atacante mudou a mecânica. O bot continuou a conceder aprovações, mas desta vez elas não foram usadas nem revogadas. Como resultado, o atacante acumulou aprovações ativas para gastar fundos.
A Blockaid citou um exemplo em que o bot aprovou o gasto de mais de 92 WETH para o endereço do contrato auxiliar do atacante. Essas aprovações foram posteriormente usadas para a retirada final de ativos via a função transferFrom.
A empresa observou que fundos em WETH, USDC e USDT foram transferidos para a carteira do atacante após ele usar as aprovações obtidas anteriormente.
"O predador se tornou a presa"
O incidente provocou uma reação animada na comunidade cripto por causa da reputação de JaredFromSubway. Por muito tempo, o bot foi um dos maiores executores dos chamados ataques de sanduíche na rede Ethereum.
O comentarista Kyle Chassé afirmou:
"Desde 2023, Jaredfromsubway.eth ganhou milhões com traders. Foi o bot mais famoso para 'ataques de sanduíche' na Ethereum. Cerca de 70% de todos os 'ataques de sanduíche' na rede vieram desta carteira. Neste fim de semana, uma caça foi aberta ao próprio bot."[…]O predador se tornou a presa."
Por sua vez, o cofundador da GlydeGG, Jeremy Chung, observou:
"O bot MEV mais famoso do Ethereum, JaredFromSubway, acabou de perder mais de $15 milhões. Após anos ganhando com 'ataques de sanduíche', alguém finalmente se vingou."
Um analista sob o pseudônimo zubic_eth acrescentou que o bot efetivamente "aprova seu próprio roubo", uma vez que sua lógica automatizada funcionou exatamente como foi programada.
O problema do MEV continua relevante
A história de JaredFromSubway se tornou mais um exemplo dos riscos associados à infraestrutura MEV. Anteriormente, a Flashbots afirmou que os bots MEV se tornaram um problema sistêmico para a escalabilidade da blockchain, uma vez que podem consumir mais da metade do gás disponível nas redes.
Um incidente semelhante também ocorreu em 2025 com a Coinbase. Devido a configurações errôneas da carteira corporativa, a exchange perdeu cerca de $300.000 após conceder aprovações perigosas ao interagir com um contrato do protocolo 0x. A empresa então revogou as aprovações e alterou a configuração de sua carteira.
O próprio JaredFromSubway já havia feito manchetes repetidamente devido a despesas extremamente altas com taxas. Em novembro de 2024, o bot pagou mais de $118.000 por uma única transação no Ethereum, e em junho do mesmo ano gastou cerca de $820.000 em gás em apenas um dia.
Fonte: Incrypted
