Jaredfromsubway.ethは、暗号資産界で最も成功したMEVボットの1つだったが、攻撃者がボットの自動実行ロジックを逆手に取ったことで、750万ドル以上を吸い上げられた。攻撃は、対MEVハニーポットの手法を用い、攻撃者が管理するコントラクトにトークン承認を行うようにボットの自動判断システムを騙して悪用した。MEVボットは保留中のブロックチェーン取引を監視し、取引順を制御して利益を得ようとするもので、しばしばサンドイッチ攻撃や、Ethereum上での最大抽出可能価値（MEV）戦略などによって行われる。
この出来事は、Ethereum上でサンドイッチ攻撃と密接に結び付けられてきたボットにとって、まれな対外的な後退を意味する。DeFiユーザーにとっては、MEVボットの活動はオンチェーン取引に付随する目に見えないコストのように働くことがある。
攻撃者が偽のトークンコントラクト66個を使って対MEVハニーポットを展開
この攻撃は、標準的なフィッシング手順や、ボットのスマートコントラクトにある直接的なバグに依存していなかった。代わりに、攻撃者が管理するコントラクトが、Jaredfromsubway.ethの自動システムを騙し、後にボットの保有資金から資金を引き出すために使われた承認を行わせた。
「これは典型的なフィッシング攻撃ではなく、被害者コントラクトにおける従来型のスマートコントラクトの脆弱性でもありません」とBlockaidは述べた。
数週間の間に、攻撃者はWrapped ETH、USDC、USDTの名前とインターフェースをコピーした偽のトークンコントラクトを66個展開した。そうした偽トークンは、収益性の高い取引機会のように見えるよう設計された偽の流動性プールと組み合わせられた。
Blockaid最高技術責任者（CTO）のRaz Nivは、この件を対MEVハニーポットだと説明した。「これは対MEVハニーポット攻撃であり、MEVボットが利用する自動化され、信頼を最小化した意思決定ロジックを、まさにそれとして特定して狙ったものだった」と彼は語った。
Jaredfromsubway.ethが偽の環境とやり取りする中で、ボットは自分の代わりに実資産を費やすための、攻撃者が管理するヘルパーコントラクトへの承認を出した。これらの承認は、攻撃者にボットの保有資金への道を与えた。
「皮肉にも、その過程で攻撃者にボットの保有資金にある何百万ドルもの“鍵”を提供してしまったのです」とNivは述べた。
その後、攻撃者は66個すべてのバックドアを呼び出す1つのトランザクションを実行し、影響を受けたアドレスからETH、USDC、USDTを一掃した。オンチェーンのデータによると、盗まれた資金の一部は後に、資金移動を紛らわせるためにしばしば使われる暗号ミキシングサービスTornado Cashへ送られていたことが示されている。
Jaredfromsubway.ethは2024年11月から2025年10月までのサンドイッチ攻撃の70%と関連
Jaredfromsubway.ethは、Ethereum上でのMEV活動の最も目立つ例の1つであり続けてきた。調査によれば、Ethereumにおけるサンドイッチ攻撃はトレーダーに年間約6000万ドルの損失をもたらしているという。2024年11月から2025年10月まで、サンドイッチ攻撃は月あたり60,000〜90,000件の範囲だったと報じられており、そのうち約70%がJaredfromsubway.ethに関連している。
ほとんどのDeFiのハックでは、ユーザーまたはプロトコルが直接の被害者になる。このケースでは、標的は通常のトレーダーから価値を抽出していると広く見られていたボットだった。この出来事はより大きなMEV問題を取り除くものではないが、利益を得るために使われる同じ自動化が、ボットが敵対的なコントラクトとやり取りすると、リスクが特定の形で集中することを示している。
攻撃はまた、ボットが攻撃者にとって研究可能な予測しやすい行動パターンを作り出すことを浮き彫りにしている。そうしたパターンが、承認、ルーティングロジック、あるいは未知のコントラクトとの反復的なやり取りを含む場合、ボットそのものが標的になり得る。
Ethereumの共同創設者であるVitalik Buterinは、DigitalBitsを少額でスワップしている最中に、Jaredfromsubway.ethによるサンドイッチ攻撃を以前受けた。少額の取引でもMEVシステムが狙い得ることを示した事例だった。損失は最小限だったが、これらのボットが無差別に振る舞う可能性があることを、この例が示している。
暗号資産投資家でコメンテーターのDavid Gokhshteinは、公衆の反応を率直な言葉で捉えた。「これで喜ぶべきではありません。誰も祝うべきではない……でも、もしあなたがこの（サンドイッチ攻撃）に遭ったことがあるなら……このニュースをもめるほど気にしていないはずです」と彼は述べた。
BlockaidのCTOは、攻撃を自動化された“信頼を最小化した意思決定ロジック”への標的だと説明
攻撃者は、ボット自身のインセンティブモデルの周りに罠を組み立てた。MEVボットは、人間による限定的な確認のもとで、有利な機会を素早く見つけて実行するよう設計されている。このケースでは、その自動化された意思決定が攻撃の入り口（攻撃面）になった。
Blockaidの最高技術責任者（CTO）のRaz Nivは、この件が、MEVボットが利用する自動化され、信頼を最小化した意思決定ロジックを具体的に標的にしたものだと述べた。仕組みにより、ボットには追いかける価値があるように見える取引が用意され、その結果、ボットの保有資金にある数百万ドルへのアクセスにつながる承認を出してしまった。
この出来事は、MEVオペレーターに対して、自動化されたシステムが承認、トークン検証、流動性プールのバリデーションをどう扱うべきかを見直させる可能性が高い。偽のトークン名や馴染みのあるインターフェースだけでは信頼の根拠にはならない。特に、ボットが手作業による確認の余地がほとんどない速度で動く場合はなおさらだ。
FAQ
Jaredfromsubway.ethのMEVボットに何が起きたのですか？
Jaredfromsubway.ethは、攻撃者が対MEVハニーポット攻撃を使ったことで、750万ドル以上を奪われた。攻撃者は数週間の間に、Wrapped ETH、USDC、USDTに見せかける66個の偽トークンコントラクトを展開し、ボットに対して、攻撃者が管理するコントラクトへトークン承認を与えるように仕向けた。その後、攻撃者は66個すべてのバックドアを呼び出す1回のトランザクションを実行し、ボットの保有資金から資金を回収した。
Jaredfromsubway.ethに関連していたMEV活動はどれくらいでしたか？
2024年11月から2025年10月まで、Ethereumでのサンドイッチ攻撃は月あたり60,000〜90,000件の範囲だったと報じられており、そのうち約70%がJaredfromsubway.ethに関連している。調査では、Ethereumにおけるサンドイッチ攻撃がトレーダーにもたらした年間損失は約6000万ドルだと推定されている。
Blockaidは攻撃手法について何と言いましたか？
Blockaidは、これは典型的なフィッシング攻撃ではなく、被害者コントラクトにおける従来型のスマートコントラクトの脆弱性でもないと述べた。Blockaidの最高技術責任者（CTO）のRaz Nivは、この件を、MEVボットが利用する自動化され、信頼を最小化した意思決定ロジックを具体的に標的にした対MEVハニーポット攻撃だと説明した。
