L'un des bots MEV les plus notoires d'Ethereum, connu sous le nom de JaredFromSubway, aurait été vidé d'environ 7,5 millions de dollars après que des contrats contrôlés par un attaquant ont trompé son système automatisé pour obtenir des autorisations de tokens.
TL;DR
- Le bot MEV JaredFromSubway aurait été vidé d'environ 7,5 millions de dollars.
- La société de sécurité Blockaid a déclaré que le bot avait été incité à approuver des routes de trading malveillantes.
- L'attaquant a ensuite utilisé ces autorisations pour retirer des actifs du contrat du bot.
- L'incident semble cibler l'automatisation du bot lui-même, et non Ethereum.
CoinDesk a rapporté que Blockaid avait identifié l'exploit, affirmant que des contrats contrôlés par l'attaquant avaient trompé le bot pour qu'il approuve de fausses routes de trading. Ces autorisations ont ensuite été utilisées pour drainer du WETH, de l'USDC et de l'USDT depuis le contrat du bot. L'incident a attiré l'attention car JaredFromSubway est depuis longtemps associé à du « sandwich trading » agressif sur Ethereum.
L'ironie est difficile à manquer. Les bots MEV sont conçus pour exploiter de minuscules avantages de timing et de routage sur les marchés on-chain. Dans ce cas, l'automatisation du bot lui-même semble être devenue la faiblesse. Au lieu d'extraire de la valeur d'autres utilisateurs, il a été manipulé pour approuver des contrats qui ont ensuite vidé ses soldes.
Ce qui s'est passé
L'exploit signalé n'était pas un piratage du protocole de base d'Ethereum. Ce n'était pas non plus une défaillance générale d'une application DeFi majeure utilisée par des déposants ordinaires. La cible était un bot MEV spécifique et la logique qu'il utilisait pour interagir avec les contrats pendant le trading automatisé.
Cette distinction est importante. L'infrastructure MEV évolue rapidement et repose souvent sur une prise de décision hautement automatisée. Si cette automatisation peut être trompée pour approuver le mauvais contrat, le risque peut être grave car les transactions s'exécutent avec peu de contrôle humain.
Selon les rapports, l'attaquant a préparé le piège en utilisant de fausses routes ou des contrats que le bot a interprétés comme des opportunités rentables. Une fois les autorisations accordées, l'attaquant les a utilisées pour transférer les actifs. En termes DeFi, c'était un rappel que les autorisations sont des permissions puissantes, et non de simples signatures anodines.
Pourquoi les traders s'y intéressent
L'histoire dépasse le simple fait qu'un bot ait été vidé. Elle met en lumière un risque qui s'applique à l'ensemble des systèmes de trading automatisés : la vitesse peut devenir une fragilité. Les bots qui rivalisent sur les marchés MEV doivent agir plus vite que les traders humains, mais cela signifie aussi qu'ils peuvent être vulnérables à des pièges soigneusement conçus.
Pour les utilisateurs d'Ethereum, cet incident peut sembler être une justice poétique car les bots de sandwich trading sont largement détestés. Mais la leçon technique est plus large. Tout système qui accorde des autorisations de tokens sur la base d'interactions automatisées avec des contrats nécessite des garde-fous stricts, des simulations et une vérification des routes.
L'impact sur le marché ne proviendra probablement pas du seul montant en dollars. Un drainage de 7,5 millions de dollars est significatif, mais pas systémique. L'impact majeur est réputationnel pour l'infrastructure MEV et possiblement opérationnel pour les opérateurs de bots qui doivent maintenant revoir plus agressivement leur logique d'autorisation.
Pour l'instant, cela doit être considéré comme une exploitation ciblée contre un bot de trading, et non comme un incident de sécurité à l'échelle du réseau.
Ce rapport est basé sur des informations provenant de Blockaid.
Cet article a été écrit par le News Desk et édité par Samuel Rae.
