El bot de MEV de Ethereum JaredFromSubway perdió aproximadamente 7,5 millones de dólares el domingo después de que contratos controlados por el atacante engañaran a su sistema automatizado de ejecución para que concediera aprobaciones de tokens, según la firma de seguridad blockchain Blockaid. El atacante utilizó después esas autorizaciones para vaciar WETH, USDC y USDT de la cartera del bot.
Blockaid insistió en que el incidente no fue ni un ataque de phishing ni una vulnerabilidad de contrato inteligente: el exploit se dirigió al mecanismo automatizado de detección de oportunidades y aprobación de MEV del bot, la misma infraestructura diseñada para capturar flujo de sandwich y arbitraje en Ethereum.
Por qué importa
JaredFromSubway es uno de los bots de MEV más activos y conocidos en Ethereum, habiendo extraído decenas de millones de dólares en beneficios a lo largo de su vida útil. Una pérdida de 7,5 millones en un solo bot es un evento on-chain significativo, pero la lectura estructural es mayor: cuando el mismo patrón automatizado de aprobación que permite a un bot moverse rápido en oportunidades de MEV puede ser utilizado en su contra, la superficie de ataque para el ecosistema de MEV en general se amplía.
Impacto en el mercado
Los activos vaciados fueron principalmente stablecoins y ETH envuelto, lo que significa que el impacto recae sobre los operadores del bot y no sobre el perfil de liquidez de ningún token concreto. El encuadre de Blockaid —exploit de la lógica de aprobación, no vulnerabilidad del protocolo— deja a los contratos de WETH, USDC y USDT sin afectación. Habrá que observar si los bots de MEV competidores endurecen los límites de gasto de aprobaciones o rotan la infraestructura de firmantes en respuesta; una oleada de imitadores contra estrategias automatizadas similares es el riesgo de segundo orden realista.
Preguntas frecuentes
-
¿Qué le pasó al bot de MEV JaredFromSubway?
El bot de MEV de Ethereum JaredFromSubway perdió aproximadamente 7,5 millones de dólares después de que contratos controlados por el atacante engañaran a su sistema automatizado de ejecución para que concediera aprobaciones de tokens, que el atacante usó después para vaciar WETH, USDC y USDT.
-
¿Fue un hackeo de contrato inteligente o un ataque de phishing?
No. Según Blockaid, el incidente no fue phishing ni una vulnerabilidad de contrato inteligente: explotó el propio mecanismo automatizado de detección de oportunidades y aprobación de MEV del bot.
-
¿Qué tokens fueron robados de JaredFromSubway?
El atacante vació WETH, USDC y USDT de la cartera del bot usando las autorizaciones de tokens que había logrado que se concedieran de forma engañosa.
-
¿Afecta este exploit a los protocolos WETH, USDC o USDT?
No. Blockaid enmarcó el incidente como una explotación de la lógica de aprobación del bot, no como una vulnerabilidad en los contratos de los tokens: WETH, USDC y USDT siguen sin afectación a nivel de protocolo.
-
¿Por qué es significativo este exploit para el ecosistema de MEV?
JaredFromSubway es uno de los bots de MEV más activos y rentables de Ethereum. El ataque muestra que la misma infraestructura automatizada de aprobaciones que permite a los bots de MEV moverse rápido puede usarse en su contra, ampliando la superficie de ataque para estrategias automatizadas similares.
TheBlock
Lookonchain
CoinTelegraph