- एक प्रसिद्ध MEV बॉट, JaredFromSubway, को Ethereum पर हैक किया गया।
- हाँ, यह नकली टोकनों के कारण अपनी ही रणनीति का शिकार हो गया।
- नुकसान $7.5 मिलियन-$15 मिलियन के बीच होने का अनुमान लगाया गया।
एनालिटिक्स फर्म Blockaid ने Ethereum पारिस्थितिकी तंत्र में सबसे प्रसिद्ध MEV बॉट्स में से एक — jaredfromsubway.eth पर सफल हमले की रिपोर्ट की। यह घटना जून 2026 में हुई और इसमें $7.5 मिलियन से लेकर $15 मिलियन से अधिक के नुकसान का अनुमान लगाया गया, जो गणना की पद्धति पर निर्भर करता है।
इस घटना ने क्रिप्टो समुदाय का ध्यान आकर्षित किया क्योंकि यह एक क्लासिक फ़िशिंग हमला या स्मार्ट-कॉन्ट्रैक्ट की कमजोरी नहीं थी, बल्कि स्वचालित व्यापार एल्गोरिदम की तर्कशक्ति में हेरफेर था।
Blockaid के अनुसार, हमलावर ने उस प्रणाली को धोखा देने में सफल रहा जो लाभकारी MEV अवसरों की खोज करती है, बॉट को तीसरे पक्ष के कॉन्ट्रैक्ट्स पर संपत्तियों को खर्च करने की स्वीकृति देने के लिए मजबूर किया।
"यह एक क्लासिक फ़िशिंग हमला नहीं है और न ही पीड़ित के स्मार्ट कॉन्ट्रैक्ट की पारंपरिक कमजोरी है," Blockaid ने जोर दिया।
योजना कैसे काम करती थी
शोधकर्ताओं के अनुसार, हमलावर ने दर्जनों नकली टोकन और तरलता पूल बनाए जो WETH, USDC और USDT जैसे लोकप्रिय संपत्तियों की नकल करते थे। इस के लिए fWETH, fUSDC और fUSDT जैसे टोकनों का उपयोग किया गया, जो संभावित रूप से लाभकारी आर्बिट्रेज मार्गों की तरह दिखते थे।
JaredFromSubway एल्गोरिदम ने इन संचालन को लाभकारी के रूप में पहचाना और स्वचालित रूप से हमलावर के अनुबंधों को धन खर्च करने के अधिकार दिए। पहले परीक्षण लेनदेन के दौरान, अनुमतियों का तुरंत उपयोग किया गया, इसलिए कोई संदिग्ध गतिविधि उत्पन्न नहीं हुई।
बाद में हमलावर ने तंत्र को बदल दिया। बॉट ने अनुमतियाँ देना जारी रखा, लेकिन इस बार उनका न तो उपयोग किया गया और न ही रद्द किया गया। परिणामस्वरूप, हमलावर ने धन खर्च करने के लिए सक्रिय अनुमतियाँ जमा कीं।
Blockaid ने एक उदाहरण का उल्लेख किया जिसमें बॉट ने हमलावर के सहायक अनुबंध के पते पर 92 WETH से अधिक खर्च करने की अनुमति दी। इन अनुमतियों का बाद में transferFrom फ़ंक्शन के माध्यम से संपत्तियों की अंतिम निकासी के लिए उपयोग किया गया।
कंपनी ने नोट किया कि WETH, USDC और USDT में धन हमलावर के वॉलेट में स्थानांतरित किया गया जब उसने पहले प्राप्त अनुमतियों का उपयोग किया।
"शिकारी शिकार बन गया"
इस घटना ने क्रिप्टो समुदाय में JaredFromSubway की प्रतिष्ठा के कारण जीवंत प्रतिक्रिया उत्पन्न की। लंबे समय तक बॉट एथेरियम नेटवर्क पर所谓 सैंडविच हमलों के सबसे बड़े कार्यान्वयकों में से एक था।
समाचार टिप्पणीकार काइल चासे ने कहा:
"2023 से, Jaredfromsubway.eth ने व्यापारियों से लाखों कमाए हैं। यह एथेरियम पर 'सैंडविच हमलों' के लिए सबसे प्रसिद्ध बॉट था। नेटवर्क पर सभी 'सैंडविच हमलों' में से लगभग 70% इस वॉलेट से आए। इस सप्ताहांत बॉट के खिलाफ एक शिकार शुरू किया गया।[…]शिकारी शिकार बन गया।"
इसके बदले, GlydeGG के सह-संस्थापक जेरमी चंग ने नोट किया:
"एथेरियम के सबसे प्रसिद्ध MEV बॉट, JaredFromSubway, ने $15 मिलियन से अधिक खो दिए। 'सैंडविच हमलों' पर वर्षों तक कमाई करने के बाद, किसी ने अंततः प्रतिशोध लिया।"
एक विश्लेषक ने उपनाम zubic_eth के तहत जोड़ा कि बॉट ने प्रभावी रूप से "अपने ही डकैती को मंजूरी दी," क्योंकि इसकी स्वचालित लॉजिक ठीक उसी तरह काम कर रही थी जैसे इसे प्रोग्राम किया गया था।
MEV समस्या प्रासंगिक बनी हुई है
JaredFromSubway की कहानी MEV बुनियादी ढांचे से जुड़े जोखिमों का एक और उदाहरण बन गई। पहले, Flashbots ने कहा था कि MEV बॉट्स ब्लॉकचेन स्केलिंग के लिए एक प्रणालीगत समस्या बन गए हैं, क्योंकि वे नेटवर्क पर उपलब्ध गैस का आधे से अधिक उपभोग कर सकते हैं।
2025 में Coinbase के साथ भी एक समान घटना हुई। गलत कॉर्पोरेट-वॉलेट सेटिंग्स के कारण, एक्सचेंज ने 0x प्रोटोकॉल के एक अनुबंध के साथ बातचीत करते समय खतरनाक अनुमतियाँ देने के बाद लगभग $300,000 खो दिए। कंपनी ने फिर अनुमतियों को रद्द कर दिया और अपनी वॉलेट कॉन्फ़िगरेशन बदल दी।
JaredFromSubway ने पहले अत्यधिक उच्च शुल्क खर्चों के कारण बार-बार सुर्खियाँ बटोरी थीं। नवंबर 2024 में, बॉट ने एथेरियम पर एकल लेनदेन के लिए $118,000 से अधिक का भुगतान किया, और उसी वर्ष जून में, इसने केवल एक दिन में गैस पर लगभग $820,000 खर्च किए।
स्रोत: Incrypted
