Как MEV-бот Jaredfromsubway.eth потерял $7,5 млн: новый тип атак на DeFi

В мире децентрализованных финансов (DeFi) автоматизированные боты, занимающиеся извлечением максимальной добавочной стоимости (MEV), долгое время оставались одними из самых прибыльных, но и самых противоречивых участников экосистемы. Один из крупнейших таких ботов, Jaredfromsubway.eth, недавно столкнулся с необычной атакой, которая не только лишила его $7,5 млн, но и продемонстрировала новый уровень изощрённости в криптовалютных атаках. В отличие от традиционных взломов или фишинговых схем, этот инцидент показал, как злоумышленники могут использовать саму логику работы MEV-ботов против них, превращая их в инструмент собственного обогащения.

Событие произошло в выходные и было подробно проанализировано компанией Blockaid, специализирующейся на безопасности смарт-контрактов. По словам аналитиков, атака не была ни классическим фишингом, ни уязвимостью в коде контракта жертвы. Вместо этого злоумышленники использовали так называемую «контратаку MEV» (counter-MEV), которая целенаправленно эксплуатирует автоматизированную логику принятия решений, заложенную в MEV-ботов. Это означает, что бот, designed для поиска и исполнения прибыльных транзакций, был обманут ложными предложениями, которые выглядели как выгодные сделки, но на самом деле вели к его разорению.

Что такое «сэндвич-атаки» и почему они так опасны

«Сэндвич-атаки» — один из самых распространённых типов атак на DeFi, при которых злоумышленники манипулируют порядком исполнения транзакций в блокчейне Ethereum. Суть атаки заключается в том, что атакующий замечает крупную заявку на покупку или продажу токена, после чего размещает свои транзакции до и после неё. Это позволяет ему «зажать» сделку пользователя между двумя своими операциями, искусственно раздувая цену токена перед покупкой и снижая её сразу после. В результате пользователь получает худший курс, а атакующий зарабатывает на разнице.

По данным исследований Cointelegraph, только на Ethereum ежегодные убытки от таких атак составляют около $60 млн. Между ноябрем 2024 года и октябрем 2025 года в сети происходило от 60 до 90 тысяч «сэндвич-атак» в месяц, и примерно 70% из них были связаны с деятельностью бота Jaredfromsubway.eth. Это делает его одним из самых влиятельных, но и самых одиозных участников DeFi-пространства. За время своей работы он заработал сотни миллионов долларов, но теперь сам стал жертвой новой тактики, которая использует его собственные методы против него.

Как была проведена атака: от поддельных токенов до обмана бота

Согласно отчёту Blockaid, атака началась с того, что злоумышленник развернул 66 поддельных токенов, которые внешне имитировали популярные активы, такие как Wrapped ETH (WETH), USDC и USDt (USDT). Эти токены были не просто копиями оригиналов, а имели схожие названия и интерфейсы, что делало их практически неотличимыми от настоящих для автоматизированных систем. Затем атакующий создал поддельные пулы ликвидности, которые предлагали якобы выгодные торговые возможности — именно такие, которые MEV-боты постоянно ищут.

Jaredfromsubway.eth, как и любой другой MEV-бот, запрограммирован на автоматическое одобрение транзакций, которые обещают высокую прибыль. Атакующий использовал это, чтобы заставить бота одобрить работу вспомогательных контрактов под контролем злоумышленника. В результате бот, вместо того чтобы извлекать прибыль для своего владельца, сам стал инструментом потери средств. Как отметил глава технического отдела Blockaid Раз Нив, «атака была направлена именно на автоматизированную, минимально доверенную логику принятия решений, которую используют MEV-боты».

Почему эта атака стала возможной: уязвимость в автоматизации

Ключевая проблема заключается в том, что MEV-боты, как и многие другие автоматизированные системы в DeFi, вынуждены доверять внешним данным. Они не могут вручную проверять каждую транзакцию или контракт, так как это замедлит их работу и сделает неконкурентоспособными. Поэтому они полагаются на сигналы, такие как цена токена, объём торгов или ликвидность пула, чтобы принимать решения. Злоумышленники использовали эту слабость, создавая контракты и пулы, которые выглядели легитимными, но на самом деле были ловушками.

Кроме того, атака показала, что даже боты, которые специализируются на извлечении прибыли из несовершенств рынка, сами становятся уязвимыми к новым типам атак. Jaredfromsubway.eth был не просто жертвой фишинга или ошибки в коде — его обманули с помощью той же самой логики, которую он использовал для обогащения. Это создаёт парадоксальную ситуацию, когда инструмент, designed для эксплуатации слабостей рынка, сам становится жертвой более изощрённой эксплуатации.

Последствия для DeFi: новые вызовы для безопасности

Инцидент с Jaredfromsubway.eth ставит перед разработчиками DeFi и создателями MEV-ботов новые вопросы о безопасности автоматизированных систем. Если боты, которые должны защищать пользователей от несправедливых транзакций, сами становятся мишенями для атак, то это означает, что текущие методы защиты устарели. Blockaid подчеркнул, что атака не была результатом ошибки в коде контракта Jaredfromsubway.eth, а стала следствием того, как бот взаимодействовал с внешними контрактами.

Это означает, что будущие MEV-боты должны будут использовать более сложные механизмы проверки контрактов и токенов, возможно, включая ручные проверки для подозрительных сделок или использование децентрализованных оракулов для подтверждения подлинности активов. Также стоит ожидать, что разработчики начнут внедрять более строгие ограничения на автоматические одобрения и транзакции, что может снизить прибыльность MEV-ботов, но и уменьшит риски для их владельцев.

Что ждёт Jaredfromsubway.eth и MEV-ботов дальше

На данный момент неизвестно, удастся ли владельцам Jaredfromsubway.eth вернуть потерянные средства или хотя бы частично компенсировать ущерб. Однако уже ясно, что этот инцидент станет важным уроком для всей индустрии. MEV-боты, которые долгое время оставались в тени, теперь становятся центром внимания не только из-за своей прибыльности, но и из-за растущих рисков.

Возможно, это событие подтолкнёт сообщество к разработке новых стандартов безопасности для MEV-ботов, включая обязательные аудиты контрактов, использование мультиподписных кошельков для управления средствами и внедрение механизмов «стоп-лосс» для автоматического прекращения подозрительных транзакций. Также стоит ожидать, что регуляторы и аудиторские компании начнут уделять больше внимания безопасности автоматизированных торговых систем в DeFi.

Как защитить себя как пользователю DeFi

Для рядовых пользователей DeFi этот инцидент служит напоминанием о том, что даже самые надёжные системы могут быть уязвимы. Вот несколько практических шагов, которые помогут снизить риски:

1. Проверка контрактов и токенов: прежде чем взаимодействовать с новым токеном или контрактом, стоит изучить его код, историю транзакций и отзывы сообщества. Использование инструментов для проверки контрактов, таких как Etherscan или Blockaid, может помочь выявить подозрительные активности.

2. Ограничение разрешений: при работе с DeFi-протоколами стоит использовать минимальные необходимые разрешения для контрактов. Например, не следует одобрять бессрочный доступ к средствам, если в этом нет острой необходимости.

3. Мониторинг транзакций: следите за своими транзакциями в реальном времени. Если вы заметили неожиданные или подозрительные операции, немедленно отменяйте их, если это возможно.

4. Использование проверенных платформ: отдавайте предпочтение тем DeFi-протоколам и пулам ликвидности, которые прошли аудит и имеют положительную репутацию в сообществе.

5. Обучение и осведомлённость: следите за новостями о новых типах атак и методах мошенничества в DeFi. Чем больше вы знаете о текущих угрозах, тем лучше сможете защитить свои средства.

Заключение

Инцидент с Jaredfromsubway.eth — это не просто ещё один случай взлома или мошенничества в криптовалютной индустрии. Это сигнал о том, что экосистема DeFi вступает в новую фазу развития, где автоматизированные системы становятся одновременно и инструментом роста, и объектом атак. Успех MEV-ботов долгое время основывался на их способности быстро реагировать на изменения рынка, но теперь им приходится адаптироваться к новым угрозам, которые используют их собственную логику против них.

Для пользователей DeFi этот случай — напоминание о том, что безопасность никогда не бывает абсолютной. Даже самые изощрённые системы могут быть уязвимы, и единственный способ защитить свои средства — это постоянная бдительность, образование и использование проверенных инструментов. В то же время для разработчиков и создателей MEV-ботов это вызов, который потребует переосмысления подходов к безопасности и автоматизации.

В конечном итоге, история с Jaredfromsubway.eth может стать важным шагом на пути к более безопасному и устойчивому DeFi. Она показывает, что индустрия готова учиться на своих ошибках и адаптироваться к новым вызовам, что в долгосрочной перспективе способствует её развитию и укреплению доверия пользователей.