CoinDesk
Um atacante drenou mais de 7,5 milhões de dólares de jaredfromsubway.eth, o bot de negociação automática responsável por aproximadamente 70% dos ataques em sanduíche na Ethereum, ao explorar a própria lógica de aprovação do bot, em vez de uma falha no contrato ou de phishing ao operador. A empresa de segurança Blockaid disse que o atacante passou várias semanas a plantar dezenas de contratos de tokens falsos e pools de liquidez que imitavam WETH, USDC e USDT, levando o bot a gerar aprovações de gastos de tokens em aberto para auxiliares controlados pelo atacante. Essas permissões permanentes foram depois usadas para retirar fundos diretamente dos contratos do bot, com uma parte dos ganhos encaminhada mais tarde pela Tornado Cash.
Porque é relevante
Os ataques em sanduíche — em que um bot deteta uma transação pendente, compra antes dela, deixa a vítima fechar a um preço pior e vende logo a seguir — são uma forma clássica de valor extraível máximo (MEV) e um imposto silencioso sobre os utilizadores da Ethereum. Dados da CoinDesk estimaram o custo em cerca de 60 milhões de dólares por ano, entre 60.000 e 90.000 ataques por mês, de novembro de 2024 a outubro de 2025, com jaredfromsubway.eth a ser responsável pela parte de leão desde o início de 2023. O incidente de sábado inverte a perspetiva: o mesmo comportamento de reconhecimento de padrões, à velocidade das máquinas, que tornou o bot rentável contra traders humanos, tornou-o vulnerável face a um adversário paciente que sabia exatamente que sinais o bot estava programado para perseguir.
Impacto no mercado
É improvável que o exploit prejudique a liquidez spot ou a cotação da Ethereum, mas altera o modelo de ameaça para todos os formadores de mercado automatizados e operadores de MEV que correm na cadeia. As aprovações que permanecem abertas após uma troca — em vez de serem consumidas e revogadas dentro da mesma transação — são agora uma superfície de ataque documentada, e a passagem pela Tornado Cash garante que pelo menos parte do butim já está branqueada através de mecanismos de privacidade que dificultam a recuperação. Para os utilizadores de retalho, a leitura é mais nítida: o bot que fez um sanduíche a Vitalik Buterin por 4 dólares em maio estava a usar os mesmos padrões de aprovação que qualquer outro contrato oportunista on-chain, e no sábado esses padrões foram virados contra ele.
Perguntas frequentes
-
O que aconteceu a jaredfromsubway.eth no sábado?
Um atacante drenou mais de 7,5 milhões de dólares do bot, levando-o a conceder permissões de gasto de tokens a contratos auxiliares controlados pelo atacante e usando depois essas aprovações em aberto para retirar WETH, USDC e USDT diretamente dos contratos do bot. Parte dos fundos foi depois encaminhada pela Tornado…
-
Como é que o atacante enganou o bot de sanduíches?
Segundo a Blockaid, o atacante passou várias semanas a criar dezenas de contratos de tokens falsos e pools de liquidez falsas que imitavam ativos como WETH, USDC e USDT. Quando o bot detetava o que pareciam ser oportunidades de MEV, gerava aprovações para auxiliares controlados pelo atacante; algumas dessas aprovações…
-
Qual é o peso de jaredfromsubway.eth no mercado de MEV da Ethereum?
O bot está ativo desde o início de 2023 e tem sido associado a cerca de 70% dos ataques em sanduíche na Ethereum. Entre novembro de 2024 e outubro de 2025, esses ataques custaram aos traders de Ethereum cerca de 60 milhões de dólares por ano, num total de 60.000 a 90.000 incidentes por mês.
-
O que é um ataque em sanduíche?
Um ataque em sanduíche é uma forma de valor extraível máximo (MEV) em que um trader automatizado deteta uma transação pendente, compra o ativo mesmo antes dela, deixa a vítima negociar a um preço pior e vende logo de seguida — capturando um pequeno spread à custa do utilizador.
-
O que significa este exploit para os outros bots de MEV na Ethereum?
Transforma aprovações de tokens em aberto, concedidas após uma troca, numa superfície de ataque confirmada. Os formadores de mercado automatizados e os operadores de MEV que concedem permissões de gasto a contratos auxiliares têm agora uma razão documentada para revogar ou restringir essas aprovações dentro da mesma…
Lookonchain
WuBlockchain
TheBlock