Ataque al gigante MEV: el bot Jaredfromsubway.eth perdió más de $7,5 millones
El conocido bot MEV Jaredfromsubway.eth, que durante mucho tiempo dominó el ámbito de los ataques sándwich en Ethereum, fue víctima de su propia automatización. Como resultado de un ataque dirigido, los atacantes lograron retirar activos por un valor superior a los $7,5 millones. Este incidente no es solo un hackeo más, sino una señal grave de que incluso los algoritmos más complejos pueden ser engañados.
El análisis del incidente muestra que el ataque no fue convencional. El atacante no pirateó directamente los contratos del bot ni utilizó esquemas de phishing clásicos. En su lugar, se desplegó toda una red de decenas de contratos de tokens falsos, disfrazados como activos populares: WETH, USDC y USDT. Estos tokens estaban vinculados a pools de liquidez falsos que simulaban oportunidades comerciales rentables.
El bot MEV, programado para buscar arbitraje y ataques sándwich, "picó" en este señuelo. El sistema automatizado de ejecución de operaciones otorgó a los contratos auxiliares del atacante permisos para gastar fondos reales. Después de eso, al atacante solo le quedaba activar con una sola transacción todas las puertas traseras implementadas y retirar los activos. Parte de los fondos robados ya ha ido a parar al mezclador Tornado Cash, lo que confirman los datos de Arkham.
Contexto: magnitud de la amenaza
Cabe señalar que Jaredfromsubway.eth no era solo uno de los bots MEV, sino un verdadero gigante. Según estimaciones, las pérdidas anuales de los traders en Ethereum por ataques sándwich ascienden a unos $60 millones. Además, desde noviembre de 2024 hasta octubre de 2025, alrededor del 70% de todas estas operaciones en la red (60 000–90 000 al mes) se vinculaban precisamente con este bot. En junio de 2024, incluso se convirtió en el mayor consumidor de gas en la red Ethereum.
Opinión de experto: Este incidente es un claro ejemplo de cómo la complejidad y la automatización se convierten en el talón de Aquiles de DeFi. Los atacantes ya no piratean el código, engañan la lógica. Para la comunidad, esta es una lección: confiar en los bots MEV sin pensar es arriesgarlo todo. El mercado debe avanzar hacia mecanismos de ejecución de operaciones más transparentes y verificables.