El gigante de MEV Jaredfromsubway.eth perdió $7,5 millones en un complejo ataque a contratos inteligentes.
Uno de los bots MEV más famosos del ecosistema Ethereum, Jaredfromsubway.eth, fue víctima de un ataque dirigido, perdiendo activos por valor de más de $7,5 millones. Este incidente atrajo la atención de toda la comunidad cripto y obligó a los expertos a reconsiderar sus ideas sobre la seguridad de los sistemas de trading automatizados.
Como se descubrió durante el análisis realizado por especialistas en seguridad, el ataque no fue convencional. El atacante no utilizó esquemas de phishing clásicos ni vulnerabilidades en los contratos de la propia víctima. En su lugar, desplegó docenas de contratos de tokens falsos, disfrazados como stablecoins populares: WETH, USDC y USDT. Estos contratos estaban vinculados a pools de liquidez ficticios que simulaban oportunidades comerciales rentables.
Los bots MEV, incluido Jaredfromsubway.eth, están configurados para buscar tales situaciones de arbitraje y realizar ataques de sandwich. Los pools falsos parecían tan convincentes que el sistema automatizado del bot otorgó permisos para gastar activos reales a los contratos auxiliares del atacante. Después de eso, el atacante activó todas las puertas traseras con una sola transacción y retiró los fondos. Parte de las monedas robadas ya fue enviada a Tornado Cash, un popular mezclador para ocultar el rastro de las transacciones.
Este caso es una seria advertencia para todos los participantes del mercado. Los ataques de sandwich se han convertido en parte de la vida cotidiana de Ethereum: según estimaciones, las pérdidas anuales de los traders por estas operaciones ascienden a unos $60 millones. Desde noviembre de 2024 hasta octubre de 2025, se registraron entre 60 000 y 90 000 operaciones de sandwich mensuales en la red, y aproximadamente el 70% de ellas se asociaron con Jaredfromsubway.eth. En junio de 2024, este bot incluso se convirtió en el mayor consumidor de gas en la red Ethereum.
Lo ocurrido demuestra claramente que incluso los jugadores MEV más experimentados no están exentos de ataques. La vulnerabilidad no radica en el código, sino en la propia lógica de interacción con contratos no verificados. En mi opinión, después de este incidente veremos un endurecimiento de los requisitos para la verificación de la autenticidad de los pools de liquidez y tokens por parte de los bots MEV, lo que podría reducir temporalmente su agresividad, pero a largo plazo hará que el ecosistema sea más seguro.