Un attaquant a vidé plus de 7,5 millions de dollars de jaredfromsubway.eth, le bot de trading automatisé crédité d'environ 70 % des attaques sandwich sur Ethereum, en retournant contre lui la logique d'approbation du bot plutôt qu'en exploitant un bug de contrat ou en piégeant l'opérateur par hameçonnage. La société de sécurité Blockaid a indiqué que l'attaquant avait passé plusieurs semaines à semer des dizaines de faux contrats de tokens et de pools de liquidité imitant WETH, USDC et USDT, attirant le bot pour qu'il génère des approbations de dépense de tokens ouvertes en faveur de helpers contrôlés par l'attaquant. Ces autorisations persistantes ont ensuite été utilisées pour retirer des fonds directement des contrats du bot, une partie du produit étant ensuite acheminée via Tornado Cash.
Pourquoi c'est important
Les attaques sandwich — où un bot repère une transaction en attente, achète juste avant, laisse la victime s'exécuter à un prix moins favorable, puis vend immédiatement après — sont une forme emblématique de maximal extractable value (MEV) et une taxe silencieuse sur les utilisateurs d'Ethereum. Les données de CoinDesk chiffraient le coût à environ 60 millions de dollars par an sur 60 000 à 90 000 attaques par mois entre novembre 2024 et octobre 2025, jaredfromsubway.eth étant responsable de la part du lion depuis début 2023. L'incident de samedi inverse la donne : le même comportement de reconnaissance de patterns à vitesse machine qui rendait le bot rentable face aux traders humains l'a rendu vulnérable face à un adversaire patient qui savait exactement quels signaux le bot était câblé pourchasser.
Impact sur le marché
L'exploit ne devrait pas entamer la liquidité spot ni les cours d'Ethereum, mais il modifie le modèle de menace pour chaque market maker automatisé et opérateur MEV opérant sur la chaîne. Les approbations qui restent ouvertes après un swap — au lieu d'être consommées et révoquées dans la même transaction — sont désormais une surface d'attaque documentée, et le passage via Tornado Cash garantit qu'au moins une partie du butin est déjà blanchie via des rails de confidentialité qui compliquent toute récupération. Pour les utilisateurs retail, la leçon est plus nette : le bot qui a sandwiché Vitalik Buterin pour 4 $ en mai appliquait les mêmes schémas d'approbation que n'importe quel autre contrat opportuniste on-chain, et samedi ces schémas se sont retournés contre lui.
Questions fréquemment posées
-
Que s'est-il passé pour jaredfromsubway.eth samedi ?
Un attaquant a vidé plus de 7,5 millions de dollars du bot en l'attirant dans l'approbation de permissions de dépense de tokens pour des contrats helpers contrôlés par l'attaquant, puis en utilisant ces approbations ouvertes pour retirer directement du WETH, de l'USDC et de l'USDT des contrats du bot. Certains fonds…
-
Comment l'attaquant a-t-il piégé le bot sandwich ?
Selon Blockaid, l'attaquant a passé plusieurs semaines à déployer des dizaines de faux contrats de tokens et de faux pools de liquidité imitant des actifs comme WETH, USDC et USDT. Lorsque le bot a repéré ce qui ressemblait à des opportunités MEV, il a généré des approbations en faveur de helpers contrôlés par…
-
Quelle est la place de jaredfromsubway.eth sur le marché MEV d'Ethereum ?
Le bot est actif depuis début 2023 et a été lié à environ 70 % des attaques sandwich sur Ethereum. Entre novembre 2024 et octobre 2025, ces attaques ont coûté aux traders Ethereum quelque 60 millions de dollars par an, pour 60 000 à 90 000 incidents par mois.
-
Qu'est-ce qu'une attaque sandwich ?
Une attaque sandwich est une forme de maximal extractable value (MEV) dans laquelle un trader automatisé repère une transaction en attente, achète l'actif juste avant, laisse la victime trader à un prix moins favorable, puis vend immédiatement après — capturant un petit spread aux dépens de l'utilisateur.
-
Que signifie cet exploit pour les autres bots MEV sur Ethereum ?
Il transforme les approbations de tokens ouvertes et post-trade en surface d'attaque confirmée. Les market makers automatisés et opérateurs MEV qui accordent des permissions de dépense à des contrats helpers ont désormais une raison documentée de révoquer ou de restreindre strictement ces approbations dans la même…
Lookonchain
WuBlockchain
TheBlock
CoinTelegraph