Serangan Sandwich MEV Jaredfromsubway.eth: Bagaimana $7,5 Juta Hilang dalam Hitungan Menit

Pada Sabtu sore yang tenang di jaringan Ethereum, salah satu bot pencari keuntungan otomatis paling produktif dalam sejarah DeFi mengalami kerugian besar yang tidak terduga. Jaredfromsubway.eth, yang selama ini dikenal dengan serangan "sandwich" yang masif, kehilangan lebih dari $7,5 juta dalam hitungan menit akibat serangan balik yang memanfaatkan celah dalam sistem otomatisnya sendiri. Kejadian ini bukan sekadar insiden pencurian biasa, melainkan serangan cerdik yang mengeksploitasi logika keputusan yang selama ini menjadi andalan bot MEV (Maximal Extractable Value). Alih-alih mengekstraksi nilai dari pengguna DeFi, bot ini justru menjadi korban dari strategi yang sama yang selama ini digunakannya untuk meraup keuntungan.

Menurut analisis Blockaid, serangan ini terjadi karena kontrak yang dikendalikan oleh penyerang berhasil menipu sistem otomatis Jaredfromsubway.eth untuk memberikan izin pengeluaran token yang kemudian digunakan untuk menguras dana bot tersebut. Yang mengejutkan, serangan ini bukanlah phishing klasik maupun kerentanan kontrak pintar yang umum terjadi. Sebaliknya, serangan ini memanfaatkan kepercayaan yang inheren dalam sistem otomatis yang mengandalkan eksekusi tanpa campur tangan manusia. Raz Niv, Chief Technology Officer Blockaid, menyebut insiden ini sebagai "counter-MEV honeypot attack" — sebuah serangan yang secara khusus menargetkan logika pengambilan keputusan otomatis dan trust-minimized yang menjadi tulang punggung bot MEV.

Dari Penjahat Menjadi Korban: Bagaimana Jaredfromsubway.eth Menghadapi Serangan Balik

Jaredfromsubway.eth selama ini dikenal sebagai salah satu bot MEV paling agresif di jaringan Ethereum. Dalam kurun waktu antara November 2024 hingga Oktober 2025, bot ini diketahui bertanggung jawab atas sekitar 70% dari total serangan sandwich yang terjadi di jaringan tersebut. Serangan sandwich sendiri merupakan teknik di mana bot mendeteksi transaksi pengguna yang besar, kemudian memasukkan transaksi mereka sendiri sebelum dan sesudah transaksi pengguna untuk memanipulasi harga dan mengambil keuntungan dari selisihnya. Teknik ini telah lama dianggap sebagai "pajak tak terlihat" bagi pengguna DeFi, karena secara efektif meningkatkan biaya transaksi tanpa disadari.

Namun, dalam serangan yang terjadi baru-baru ini, peran Jaredfromsubway.eth berubah drastis. Alih-alih menjadi pihak yang mengekstraksi nilai, bot ini justru menjadi target. Penyerang menggunakan 66 kontrak token palsu yang didesain untuk meniru Wrapped ETH (WETH), USDC, dan USDt (USDT), lengkap dengan antarmuka yang menyerupai token asli. Kontrak palsu ini kemudian dipasangkan dengan kumpulan likuiditas palsu yang terlihat menguntungkan. Bot MEV, yang secara otomatis mencari peluang arbitrase dan manipulasi harga, tertipu oleh penampilan kontrak palsu tersebut. Akibatnya, bot memberikan izin pengeluaran kepada kontrak bantu yang dikendalikan oleh penyerang, yang kemudian digunakan untuk menguras dana yang dimiliki bot.

Yang menarik, serangan ini tidak memanfaatkan kerentanan kontrak pintar yang umum terjadi. Sebaliknya, serangan ini mengeksploitasi kepercayaan yang diberikan oleh sistem otomatis terhadap kontrak yang terlihat sah. Dengan kata lain, bot MEV yang selama ini digunakan untuk mengeksploitasi pengguna DeFi justru menjadi korban dari sistem yang sama yang selama ini digunakannya untuk meraup keuntungan. Hal ini menunjukkan betapa rapuhnya sistem trust-minimized yang selama ini diandalkan dalam ekosistem MEV.

Arti Penting Serangan Ini bagi Ekosistem MEV dan DeFi

Serangan terhadap Jaredfromsubway.eth bukan sekadar insiden pencurian biasa. Insiden ini memiliki implikasi yang jauh lebih luas bagi ekosistem MEV dan DeFi secara keseluruhan. Pertama, serangan ini menunjukkan bahwa sistem otomatis yang selama ini diandalkan oleh bot MEV memiliki kerentanan yang dapat dieksploitasi. Meskipun sistem ini dirancang untuk beroperasi tanpa campur tangan manusia, serangan ini membuktikan bahwa sistem tersebut masih dapat ditipu dengan cara yang cerdik. Hal ini menimbulkan pertanyaan tentang seberapa aman sebenarnya sistem trust-minimized yang selama ini diandalkan oleh ekosistem DeFi.

Kedua, serangan ini juga menyoroti risiko yang terkait dengan penggunaan bot MEV secara luas. Selama ini, bot MEV dianggap sebagai bagian yang tak terpisahkan dari ekosistem DeFi, dengan kontribusi yang signifikan terhadap likuiditas dan efisiensi pasar. Namun, serangan ini menunjukkan bahwa penggunaan bot MEV juga membawa risiko yang signifikan, baik bagi pengguna maupun bagi operator bot itu sendiri. Dalam hal ini, serangan terhadap Jaredfromsubway.eth menunjukkan bahwa risiko tersebut tidak hanya bersifat teoritis, tetapi juga nyata dan dapat terjadi kapan saja.

Ketiga, serangan ini juga menunjukkan pentingnya pengawasan dan pengamanan yang lebih ketat terhadap sistem otomatis dalam ekosistem DeFi. Meskipun sistem trust-minimized dirancang untuk mengurangi kebutuhan akan campur tangan manusia, serangan ini menunjukkan bahwa sistem tersebut masih memerlukan pengawasan dan pengamanan yang lebih ketat. Hal ini terutama berlaku bagi operator bot MEV yang selama ini mengandalkan sistem otomatis untuk menjalankan operasinya.

Teknik Serangan: Dari Kontrak Palsu hingga Honeypot

Serangan terhadap Jaredfromsubway.eth dilakukan dengan menggunakan teknik yang relatif sederhana namun sangat efektif. Penyerang membuat 66 kontrak token palsu yang meniru WETH, USDC, dan USDt. Kontrak palsu ini tidak hanya memiliki nama yang mirip dengan token asli, tetapi juga memiliki antarmuka yang menyerupai token asli. Dengan demikian, kontrak palsu ini terlihat sah bagi sistem otomatis bot MEV.

Selanjutnya, penyerang membuat kumpulan likuiditas palsu yang terlihat menguntungkan. Kumpulan likuiditas palsu ini dirancang untuk menarik perhatian bot MEV, yang secara otomatis mencari peluang arbitrase dan manipulasi harga. Ketika bot MEV mendeteksi kumpulan likuiditas palsu ini, bot tersebut akan mencoba untuk mengeksekusi transaksi yang menguntungkan. Namun, dalam prosesnya, bot akan memberikan izin pengeluaran kepada kontrak bantu yang dikendalikan oleh penyerang.

Setelah mendapatkan izin pengeluaran, penyerang kemudian menggunakan izin tersebut untuk menguras dana yang dimiliki oleh bot MEV. Dana yang diambil oleh penyerang berasal dari saldo token yang dimiliki oleh bot, yang kemudian ditransfer ke dompet yang dikendalikan oleh penyerang. Dalam hitungan menit, bot MEV yang selama ini dikenal dengan serangan sandwich-nya kehilangan lebih dari $7,5 juta.

Yang menarik dari serangan ini adalah bahwa serangan ini bukanlah serangan yang melibatkan kerentanan kontrak pintar yang umum terjadi. Sebaliknya, serangan ini mengeksploitasi kepercayaan yang diberikan oleh sistem otomatis terhadap kontrak yang terlihat sah. Dengan kata lain, serangan ini menunjukkan bahwa sistem otomatis yang selama ini diandalkan oleh bot MEV memiliki kerentanan yang dapat dieksploitasi dengan cara yang cerdik.

Dampak Finansial dan Reputasi bagi Jaredfromsubway.eth

Kehilangan $7,5 juta dalam hitungan menit tentu saja merupakan kerugian finansial yang sangat besar bagi Jaredfromsubway.eth. Namun, dampak dari serangan ini tidak hanya bersifat finansial. Serangan ini juga memiliki dampak reputasi yang signifikan bagi operator bot MEV tersebut. Selama ini, Jaredfromsubway.eth dikenal sebagai salah satu bot MEV paling produktif dan agresif di jaringan Ethereum. Namun, serangan ini menunjukkan bahwa bot tersebut memiliki kerentanan yang dapat dieksploitasi, yang pada gilirannya dapat mengurangi kepercayaan pengguna dan operator lain terhadap sistem yang dijalankannya.

Selain itu, serangan ini juga dapat mempengaruhi operasional bot MEV tersebut di masa depan. Setelah mengalami kerugian yang begitu besar, operator bot MEV mungkin perlu untuk melakukan audit ulang terhadap sistem otomatisnya dan meningkatkan pengamanan untuk mencegah serangan serupa di masa depan. Hal ini tentu saja akan memerlukan biaya dan waktu yang tidak sedikit, yang pada akhirnya dapat mempengaruhi profitabilitas bot MEV tersebut.

Implikasi bagi Pengguna DeFi dan Regulasi

Serangan terhadap Jaredfromsubway.eth juga memiliki implikasi yang signifikan bagi pengguna DeFi dan regulasi yang terkait dengan ekosistem ini. Pertama, serangan ini menunjukkan bahwa pengguna DeFi masih rentan terhadap manipulasi harga dan ekstraksi nilai yang dilakukan oleh bot MEV. Meskipun serangan ini terjadi pada operator bot MEV, bukan pada pengguna DeFi, hal ini menunjukkan bahwa ekosistem DeFi masih memiliki kerentanan yang dapat dieksploitasi oleh pihak yang tidak bertanggung jawab.

Kedua, serangan ini juga dapat mendorong munculnya regulasi yang lebih ketat terhadap penggunaan bot MEV di masa depan. Selama ini, penggunaan bot MEV dianggap sebagai bagian yang tak terpisahkan dari ekosistem DeFi. Namun, serangan ini menunjukkan bahwa penggunaan bot MEV juga membawa risiko yang signifikan, baik bagi pengguna maupun bagi operator bot itu sendiri. Hal ini dapat mendorong regulator untuk mempertimbangkan untuk menerapkan regulasi yang lebih ketat terhadap penggunaan bot MEV, terutama yang berkaitan dengan pengamanan sistem otomatis dan perlindungan pengguna.

Langkah-Langkah Keamanan yang Dapat Diambil oleh Operator Bot MEV

Bagi operator bot MEV yang lain, serangan terhadap Jaredfromsubway.eth merupakan pengingat yang penting tentang pentingnya pengamanan sistem otomatis yang dijalankan. Berikut adalah beberapa langkah keamanan yang dapat diambil oleh operator bot MEV untuk mencegah serangan serupa di masa depan:

Pertama, operator bot MEV harus melakukan audit keamanan secara berkala terhadap sistem otomatis yang dijalankan. Audit ini harus dilakukan oleh pihak ketiga yang independen untuk memastikan bahwa tidak ada kerentanan yang dapat dieksploitasi oleh pihak yang tidak bertanggung jawab. Selain itu, operator bot MEV juga harus memastikan bahwa sistem otomatis yang dijalankan memiliki mekanisme pengawasan yang memadai untuk mendeteksi dan mencegah serangan yang mencurigakan.

Kedua, operator bot MEV harus mempertimbangkan untuk menerapkan sistem verifikasi ganda untuk setiap transaksi yang dieksekusi. Sistem verifikasi ganda ini dapat membantu untuk memastikan bahwa transaksi yang dieksekusi benar-benar sah dan tidak merupakan bagian dari serangan yang mencurigakan. Selain itu, sistem verifikasi ganda juga dapat membantu untuk mengurangi risiko kesalahan manusia yang dapat dieksploitasi oleh pihak yang tidak bertanggung jawab.

Ketiga, operator bot MEV harus mempertimbangkan untuk menerapkan sistem pembatasan otomatis yang dapat membatasi jumlah dana yang dapat diekstraksi dalam satu waktu. Sistem pembatasan ini dapat membantu untuk mengurangi dampak finansial yang dapat ditimbulkan oleh serangan yang berhasil. Selain itu, sistem pembatasan ini juga dapat membantu untuk memastikan bahwa operasional bot MEV tetap berjalan dengan lancar meskipun terjadi serangan yang mencurigakan.

Masa Depan MEV dan Trust-Minimized System

Serangan terhadap Jaredfromsubway.eth menimbulkan pertanyaan yang lebih besar tentang masa depan sistem trust-minimized dalam ekosistem DeFi. Sistem trust-minimized selama ini dianggap sebagai salah satu inovasi terbesar dalam ekosistem blockchain, karena memungkinkan pengguna untuk melakukan transaksi tanpa perlu mempercayai pihak ketiga. Namun, serangan ini menunjukkan bahwa sistem trust-minimized juga memiliki kerentanan yang dapat dieksploitasi.

Di masa depan, pengembang dan operator bot MEV perlu untuk mempertimbangkan kembali desain sistem trust-minimized yang selama ini digunakan. Salah satu opsi yang dapat dipertimbangkan adalah untuk mengurangi tingkat otomatisasi dalam sistem dan meningkatkan tingkat pengawasan manusia. Selain itu, pengembang juga dapat mempertimbangkan untuk menerapkan sistem deteksi ancaman yang lebih canggih untuk mendeteksi dan mencegah serangan yang mencurigakan.

Selain itu, serangan ini juga menunjukkan pentingnya kolaborasi antara pengembang, operator bot MEV, dan regulator dalam menciptakan ekosistem DeFi yang lebih aman dan terpercaya. Dengan bekerja sama, mereka dapat mengidentifikasi dan mengatasi kerentanan yang ada sebelum dieksploitasi oleh pihak yang tidak bertanggung jawab.

Kesimpulan: Pelajaran dari $7,5 Juta yang Hilang

Serangan terhadap Jaredfromsubway.eth merupakan pengingat yang penting tentang kerentanan yang ada dalam ekosistem MEV dan DeFi secara keseluruhan. Meskipun sistem trust-minimized selama ini dianggap sebagai salah satu inovasi terbesar dalam ekosistem blockchain, serangan ini menunjukkan bahwa sistem tersebut masih memiliki kerentanan yang dapat dieksploitasi. Bagi operator bot MEV, serangan ini merupakan pengingat yang penting tentang pentingnya pengamanan sistem otomatis yang dijalankan. Bagi pengguna DeFi, serangan ini menunjukkan bahwa ekosistem ini masih memiliki risiko yang perlu diwaspadai.

Di masa depan, serangan ini diharapkan dapat mendorong munculnya inovasi baru dalam pengamanan sistem otomatis dan trust-minimized. Selain itu, serangan ini juga diharapkan dapat mendorong munculnya regulasi yang lebih ketat terhadap penggunaan bot MEV, sehingga ekosistem DeFi dapat menjadi lebih aman dan terpercaya bagi semua pihak yang terlibat. Yang jelas, serangan ini telah menunjukkan bahwa dalam dunia DeFi yang serba otomatis, tidak ada sistem yang benar-benar kebal dari serangan.