Ataque al gigante MEV: el bot Jaredfromsubway.eth perdió más de $7,5 millones
El conocido bot MEV Jaredfromsubway.eth, que durante mucho tiempo dominó el ámbito de los ataques sándwich en Ethereum, fue víctima de un complejo ataque hacker. Las pérdidas superaron los $7,5 millones en activos digitales. Este evento reveló vulnerabilidades no en los contratos inteligentes como tales, sino en los mecanismos de toma de decisiones automatizados sobre los que se construyen estos bots.
Cómo se llevó a cabo el ataque
Expertos de la empresa Blockaid, especializada en la detección de exploits, determinaron que el atacante actuó a través de contratos inteligentes bajo su control. Desplegó decenas de contratos de tokens falsos, disfrazados como activos líquidos populares: WETH, USDC y USDT. Estos contratos estaban vinculados a pools de liquidez falsos que imitaban visualmente oportunidades comerciales rentables.
Es precisamente a este tipo de operaciones "rentables" a las que suelen reaccionar los bots MEV, buscando ejecutar un ataque sándwich. Como resultado, el sistema automatizado de ejecución del bot fue engañado y otorgó a los contratos auxiliares del atacante las autorizaciones (approvals) para gastar activos reales. Después de esto, el atacante activó todas las puertas traseras programadas con una sola transacción y retiró los fondos. Parte de las monedas robadas ya fueron enviadas al mezclador Tornado Cash.
Alcance y consecuencias
Cabe destacar que Jaredfromsubway.eth no era solo uno más entre muchos bots MEV. Según mis datos, desde noviembre de 2024 hasta octubre de 2025, en la red Ethereum se registraban entre 60 000 y 90 000 ataques sándwich mensuales, y aproximadamente el 70% de ellos se vinculaban precisamente con este bot. Su "contribución" anual a las pérdidas de los traders por estas manipulaciones se estimaba en unos $60 millones. En junio de 2024, este bot incluso se convirtió en el mayor consumidor de gas en la red Ethereum, lo que subraya su escala y agresividad.
Mi opinión profesional: Este ataque no es solo un hackeo más. Es una demostración de que incluso los sistemas automatizados más sofisticados, diseñados para extraer ganancias de las transacciones de otros, pueden ser utilizados en contra de sus creadores. El incidente pone en duda la fiabilidad de todo el ecosistema MEV, basado en la confianza en las simulaciones y las autorizaciones firmadas. En un futuro cercano, probablemente veremos un endurecimiento de los requisitos de seguridad para este tipo de bots y una revisión de la arquitectura de su interacción con la liquidez.