Jaredfromsubway.eth, salah satu bot MEV paling sukses di kripto, dikuras lebih dari $7,5 juta setelah seorang penyerang membalik logika eksekusi otomatis bot tersebut. Serangan ini memakai metodologi counter-MEV honeypot yang mengeksploitasi sistem pengambilan keputusan otomatis bot dengan menipunya agar memberikan approval token kepada kontrak yang dikendalikan penyerang. Bot MEV memantau transaksi blockchain yang tertunda dan berusaha meraih profit dengan mengendalikan urutan transaksi, sering kali melalui sandwich attacks dan strategi maximal extractable value lainnya di Ethereum.
Kejadian ini menandai kemunduran publik yang jarang terjadi untuk bot yang sangat terkait dengan sandwich attacks di Ethereum. Bagi pengguna DeFi, aktivitas bot MEV dapat bekerja seperti biaya tak terlihat yang melekat pada perdagangan onchain.
Penyerang Menerapkan Counter-MEV Honeypot Menggunakan 66 Kontrak Token Palsu
Serangan ini tidak mengandalkan alur phishing standar atau bug langsung pada kontrak pintar botnya. Sebagai gantinya, kontrak yang dikendalikan penyerang menipu sistem otomatis Jaredfromsubway.eth agar memberikan approval token yang kemudian digunakan untuk menguras dana dari treasury bot.
"Ini bukan serangan phishing klasik dan bukan kerentanan smart-contract tradisional di kontrak korban," kata Blockaid.
Selama beberapa minggu, penyerang menerapkan 66 kontrak token palsu yang meniru nama dan antarmuka Wrapped ETH, USDC, dan USDT. Token palsu tersebut lalu dipasangkan dengan pool likuiditas palsu yang dirancang agar tampak seperti peluang trading yang menguntungkan.
Chief technology officer Blockaid Raz Niv menggambarkan insiden ini sebagai counter-MEV honeypot. "Ini adalah serangan counter-MEV honeypot, karena secara spesifik menargetkan logika pengambilan keputusan otomatis yang meminimalkan kepercayaan yang digunakan bot MEV," katanya.
Saat Jaredfromsubway.eth berinteraksi dengan lingkungan palsu itu, ia memberikan approval kepada kontrak helper yang dikendalikan penyerang untuk membelanjakan aset nyata atas namanya. Approval tersebut memberi penyerang jalan menuju treasury bot.
"Ironisnya, dalam proses tersebut, ia memberi penyerang kunci untuk jutaan dolar di treasury bot," kata Niv.
Penyerang lalu mengeksekusi satu transaksi yang memanggil semua 66 backdoor, menyapu ETH, USDC, dan USDT dari alamat yang terdampak. Data onchain menunjukkan sebagian dana yang dicuri kemudian dikirim ke Tornado Cash, layanan pencampur kripto yang sering dipakai untuk menyamarkan pergerakan dana.
Jaredfromsubway.eth Terkait dengan 70% Sandwich Attacks Antara November 2024 dan Oktober 2025
Jaredfromsubway.eth sudah lama menjadi salah satu contoh paling terlihat dari aktivitas MEV di Ethereum. Riset memperkirakan sandwich attacks di Ethereum menyebabkan sekitar $60 juta kerugian tahunan bagi trader. Antara November 2024 dan Oktober 2025, sandwich attacks dilaporkan berkisar antara 60.000 hingga 90.000 per bulan, dengan kira-kira 70% dikaitkan dengan Jaredfromsubway.eth.
Dalam kebanyakan peretasan DeFi, pengguna atau protokol adalah korban langsung. Dalam kasus ini, targetnya adalah bot yang secara luas dipandang mengekstrak nilai dari trader biasa. Insiden ini tidak menghapus masalah MEV yang lebih luas, tetapi menunjukkan bahwa otomasi yang sama untuk menangkap profit dapat menciptakan paparan yang terkonsentrasi saat bot berinteraksi dengan kontrak yang bermusuhan.
Serangan ini juga menyoroti bahwa bot menciptakan pola perilaku yang dapat diprediksi yang bisa dipelajari penyerang. Ketika pola itu melibatkan approval, logika routing, atau interaksi berulang dengan kontrak yang tidak dikenal, bot itu sendiri bisa menjadi target.
Co-founder Ethereum Vitalik Buterin sebelumnya diserang dalam sandwich oleh Jaredfromsubway.eth saat menukar jumlah kecil DigitalBits, menunjukkan bahwa bahkan transaksi bernilai rendah pun bisa menjadi sasaran sistem MEV. Kerugiannya minimal, tetapi contoh tersebut menangkap betapa bot ini bisa bersifat serampangan.
Investor dan komentator kripto David Gokhshtein membingkai respons publik dengan blak-blakan. "Kita tidak seharusnya senang tentang ini; tidak ada yang boleh merayakan … tetapi jika kamu pernah disandingkan oleh ini … aku cukup yakin kamu tidak kesal dengan kabar ini," katanya.
CTO Blockaid Mendeskripsikan Serangan sebagai Menargetkan Logika Pengambilan Keputusan Otomatis yang Meminimalkan Kepercayaan
Penyerang membangun jebakan di sekitar model insentif bot itu sendiri. Bot MEV dirancang untuk mengidentifikasi dan mengeksekusi peluang yang menguntungkan dengan cepat, dengan review manusia yang terbatas. Dalam kasus ini, pengambilan keputusan otomatis tersebut menjadi permukaan serangan.
Chief technology officer Blockaid Raz Niv mengatakan insiden ini secara spesifik menargetkan logika pengambilan keputusan otomatis yang meminimalkan kepercayaan yang digunakan bot MEV. Penataan itu memberi bot apa yang tampak seperti perdagangan yang layak dikejar, sehingga membuatnya memberikan approval yang pada akhirnya memberi akses ke jutaan dolar di treasury bot.
Insiden ini kemungkinan akan mendorong operator MEV untuk meninjau bagaimana sistem otomatis menangani approval, verifikasi token, dan validasi pool likuiditas. Nama token palsu dan antarmuka yang familiar tidak cukup untuk membangun kepercayaan, terutama ketika bot bergerak pada kecepatan yang menyisakan sedikit ruang untuk pemeriksaan manual.
FAQ
Apa yang terjadi pada bot MEV Jaredfromsubway.eth?
Jaredfromsubway.eth dikuras lebih dari $7,5 juta setelah seorang penyerang menggunakan serangan counter-MEV honeypot. Penyerang menerapkan 66 kontrak token palsu dalam beberapa minggu yang meniru Wrapped ETH, USDC, dan USDT, sehingga menipu bot agar memberikan approval token kepada kontrak yang dikendalikan penyerang. Penyerang kemudian mengeksekusi satu transaksi yang memanggil semua 66 backdoor untuk menyapu dana dari treasury bot.
Seberapa besar aktivitas MEV yang terkait dengan Jaredfromsubway.eth?
Antara November 2024 dan Oktober 2025, sandwich attacks di Ethereum dilaporkan berkisar antara 60.000 dan 90.000 per bulan, dengan kira-kira 70% terkait dengan Jaredfromsubway.eth. Riset memperkirakan sandwich attacks di Ethereum menyebabkan sekitar $60 juta kerugian tahunan bagi trader.
Apa yang dikatakan Blockaid tentang metode serangan tersebut?
Blockaid menyatakan ini bukan serangan phishing klasik dan bukan kerentanan smart-contract tradisional di kontrak korban. Chief technology officer Blockaid Raz Niv mendeskripsikan insiden ini sebagai serangan counter-MEV honeypot yang secara spesifik menargetkan logika pengambilan keputusan otomatis yang meminimalkan kepercayaan yang digunakan bot MEV.
