- Un bot MEV bien conocido, JaredFromSubway, fue hackeado en Ethereum.
- Sí, fue víctima de su propia estrategia debido a tokens falsos.
- Las pérdidas se estimaron en un rango de $7.5 millones a $15 millones.
La firma de análisis Blockaid informó sobre un ataque exitoso a uno de los bots MEV más conocidos en el ecosistema de Ethereum — jaredfromsubway.eth. El incidente ocurrió en junio de 2026 y llevó a pérdidas que oscilan entre $7.5 millones y más de $15 millones, dependiendo de la metodología de conteo.
El evento atrajo la atención de la comunidad cripto porque no fue un ataque de phishing clásico ni una vulnerabilidad de contrato inteligente, sino una manipulación de la lógica del propio algoritmo de trading automatizado.
Según Blockaid, el atacante logró engañar al sistema que busca oportunidades MEV rentables, obligando al bot a otorgar aprobaciones para gastar activos en contratos de terceros por su cuenta.
"Este no es un ataque de phishing clásico ni una vulnerabilidad tradicional del contrato inteligente de la víctima," enfatizó Blockaid.
Cómo funcionaba el esquema
Según los investigadores, el atacante creó docenas de tokens falsos y pools de liquidez que imitaban activos populares como WETH, USDC y USDT. Se utilizaron tokens como fWETH, fUSDC y fUSDT para esto, que parecían rutas de arbitraje potencialmente rentables.
El algoritmo JaredFromSubway identificó estas operaciones como rentables y otorgó automáticamente a los contratos del atacante los derechos para gastar fondos. Durante las primeras transacciones de prueba, las aprobaciones se utilizaron de inmediato, por lo que no surgió ninguna actividad sospechosa.
Más tarde, el atacante cambió la mecánica. El bot continuó otorgando aprobaciones, pero esta vez no se utilizaron ni se revocaron. Como resultado, el atacante acumuló aprobaciones activas para gastar fondos.
Blockaid citó un ejemplo en el que el bot aprobó el gasto de más de 92 WETH a la dirección del contrato auxiliar del atacante. Estas aprobaciones se utilizaron posteriormente para el retiro final de activos a través de la función transferFrom.
La empresa señaló que los fondos en WETH, USDC y USDT se transfirieron a la billetera del atacante después de que utilizó las aprobaciones obtenidas previamente.
"El depredador se convirtió en la presa"
El incidente provocó una reacción animada en la comunidad cripto debido a la reputación de JaredFromSubway. Durante mucho tiempo, el bot fue uno de los mayores ejecutores de los llamados ataques de sándwich en la red Ethereum.
El comentarista Kyle Chassé declaró:
"Desde 2023, Jaredfromsubway.eth ha ganado millones de los traders. Era el bot más famoso para 'ataques de sándwich' en Ethereum. Aproximadamente el 70% de todos los 'ataques de sándwich' en la red provienen de esta billetera. Este fin de semana se abrió una cacería sobre el propio bot.[…]El depredador se convirtió en la presa."
A su vez, el cofundador de GlydeGG, Jeremy Chung, señaló:
"El bot MEV más famoso de Ethereum, JaredFromSubway, acaba de perder más de 15 millones de dólares. Después de años ganando con 'ataques de sándwich', alguien finalmente tomó venganza."
Un analista bajo el seudónimo zubic_eth añadió que el bot efectivamente "aprobó su propio robo", ya que su lógica automatizada funcionó exactamente como había sido programada.
El problema de MEV sigue siendo relevante
La historia de JaredFromSubway se convirtió en otro ejemplo de los riesgos asociados con la infraestructura de MEV. Anteriormente, Flashbots declaró que los bots de MEV se han convertido en un problema sistémico para la escalabilidad de blockchain, ya que pueden consumir más de la mitad del gas disponible en las redes.
Un incidente similar también ocurrió en 2025 con Coinbase. Debido a configuraciones erróneas de la billetera corporativa, el intercambio perdió alrededor de 300,000 dólares después de otorgar aprobaciones peligrosas mientras interactuaba con un contrato del protocolo 0x. La empresa luego revocó las aprobaciones y cambió la configuración de su billetera.
JaredFromSubway en sí había hecho titulares repetidamente debido a gastos de tarifas extremadamente altos. En noviembre de 2024, el bot pagó más de 118,000 dólares por una sola transacción en Ethereum, y en junio del mismo año gastó alrededor de 820,000 dólares en gas en un solo día.
Fuente: Incrypted
