有名なイーサリアム取引ボット「jaredfromsubway」の運営者は、土曜日にボットの取引承認システムを狙ったエクスプロイトの被害を受け、$7.5 million（約7.5百万ドル）を失いました。セキュリティ企業Blockaidは、攻撃者が偽トークンと不正なスマートコントラクトを使って、ボットから正当な資金を抜き取ったと報告しています。このエクスプロイトは、「サンドイッチ攻撃」を行うことで悪名を得ているボットに対して発生しました。サンドイッチ攻撃とは、分散型取引所（DEX）で、未確定の取引の前後に注文を入れて、他者の犠牲で利益を得る市場操作の一種です。
攻撃者が偽トークンで承認ロジックを悪用
Blockaidによると、攻撃者はjaredfromsubwayに、後に悪用者が資金を抜き取ることを可能にした誤解を招く取引機会を提示したとのことです。ボットは、収益性の高い取引を継続的にスキャンし、そうした取引を実行するために、時おり他の主体に対して資金を移動する許可を与えます。Blockaidによれば、jaredfromsubwayが行った一部の取引は、完了後すぐにそれらの権限を取り消した一方で、攻撃者が作成した取引では取り消されませんでした。「攻撃者が制御するspendersに、武器が備えられた状態になった」とBlockaidはXの投稿で述べています。この計画には、承認メカニズムを悪用する偽トークンと不正なスマートコントラクトが使われました。
運営者が50%の懸賞金を提示し、法的措置を示唆
土曜日の攻撃後のオンチェーンメッセージで、ボットの運営者は、48時間以内に2,150 Ethereum（現在およそ370万ドル相当）を返還した場合の「50%のホワイトハット懸賞金」を提示しました。運営者は、その期限内に資金が返されない場合、法的救済を求め、捜査当局を関与させると脅しました。
盗まれた資金はTornado Cashに入金
セキュリティ企業PeckShieldはXの投稿で、攻撃者がエクスプロイト後に足跡を消し始めたと報告しました。Wrapped Ethereumとステーブルコインを盗んだ後、資金の一部は交換され、Tornado Cashに部分的に入金されました。Tornado Cashは、不正に得た利益の流れを紛らわせようとする攻撃者がよく利用する手段です。
FAQ
土曜日にjaredfromsubwayボットに何が起きた？
Blockaidによれば、土曜日にjaredfromsubwayボットは、偽トークンと不正なスマートコントラクトを使って取引承認ロジックを悪用されたことで、750万ドルを失いました。
エクスプロイト後、jaredfromsubwayの運営者は何を提示した？
運営者は、48時間以内の2,150 Ethereumの返還（約370万ドル）に対して50%のホワイトハット懸賞金を提示し、資金が返されない場合は法的措置を講じ、捜査当局を関与させると脅しました。
