Atacatorul din spatele exploatării botului MEV (Maximal Extractable Value) de pe Ethereum, cunoscut sub numele de Jaredfromsubway, a transferat milioane de dolari prin intermediul Tornado Cash, ignorând oferta publică de a returna jumătate din fondurile furate în schimbul unei recompense. Acest transfer sugerează că atacatorul nu pare interesat de negocieri, chiar dacă operatorul botului a oferit recompense și a afirmat că a purtat discuții cu potențiale grupuri de recuperare.
**Cum a fost botul păcălit cu propriul său joc**
Exploatarea, conform datelor furnizate de Peckshield, a avut loc pe 20 iunie și a adus atacatorului 1.474 WETH, 2,87 milioane USDC și 2 milioane USDT, aparent fără a fi compromis codul sursă. O altă firmă de securitate blockchain, Blockaid, a explicat că persoana responsabilă a creat o serie de tokenuri wrapper false, inclusiv fWETH, fUSDC și fUSDT, și le-a asociat cu pool-uri de lichiditate false care, pentru sistemul automat de scanare al botului, păreau oportunități profitabile de MEV. Botul a acționat exact așa cum a fost proiectat: a detectat o tranzacție aparent profitabilă și a acordat aprobări pentru tokenuri contractelor auxiliare ale atacatorului.
Conform analizei Blockaid, în primele tranzacții de test, aceste aprobări au fost consumate în mod normal, fără a semnala nimic suspect. Ulterior, exploatatorul a creat rute în care botul a continuat să acorde aprobări care nu au fost niciodată revocate, acumulând astfel drepturi de cheltuire asupra fondurilor botului pe parcurs, în timp ce aștepta momentul potrivit. Când acel moment a sosit, contractul atacatorului a folosit aceste aprobări deschise pentru a extrage WETH, USDC și USDT direct din contractul Jaredfromsubway, utilizând apeluri standard transferFrom.
Cercetătorul crypto RaFi, care a publicat un fir detaliat despre incident, a descris situația ca fiind un „masterclass în inginerie socială on-chain”.
Operatorul botului a reacționat în mai multe etape. Inițial, a oferit o recompensă de 1 milion de dolari hackerului pentru returnarea banilor furați și încă 50.000 de dolari oricui ar putea ajuta la identificarea atacatorului. La scurt timp după, a oferit o recompensă „limitată în timp” de 3 milioane de dolari pentru recuperarea fondurilor, promițând confidențialitate totală și „fără întrebări”.
În lipsa unui răspuns clar, operatorul Jaredfromsubway a decis să trimită un mesaj on-chain în care a declarat că acceptă 2.150 ETH, aproximativ 50% din totalul sustrag, și a oferit atacatorului 48 de ore pentru a răspunde, amenințând că va „urmări toate remediile legale și de aplicare a legii disponibile” dacă termenul expira fără returnarea fondurilor.
Însă, atacatorul pare să fi oferit un răspuns de altă natură. Conform datelor publicate de Onchain Lens, atacatorul a transferat recent 2.000 ETH, în valoare de aproximativ 3,4 milioane de dolari, prin Tornado Cash. De asemenea, se pare că a vândut 1.422 ETH pentru aproximativ 2,4 milioane de dolari în DAI, rămânând cu doar 5 ETH în portofel.
**Contactul White-Hat**
Conform celei mai recente actualizări, administratorul botului a declarat că un grup autointitulat „white-hat” a intrat în contact și că negocierile sunt în curs, deși nimic nu a fost confirmat oficial. Dezvoltatorii blockchain continuă să caute soluții pentru a reduce activitatea MEV, una dintre metode fiind o propunere din partea Aptos de a cripta sistemele de mempool, pentru a menține tranzacțiile private până la execuția lor.