Jaredfromsubway.eth, một bot giao dịch tự động nổi tiếng trên Ethereum, đã bị rút hơn 7,5 triệu USD sau một vụ honeypot on-chain được thiết kế để đánh lừa hệ thống MEV. Chủ bot sau đó đề nghị thưởng “white hat” 50% nếu hacker trả lại số ETH trong 48 giờ.
Vụ việc cho thấy các bot kiếm lợi từ người dùng thông thường cũng có thể trở thành mục tiêu bị tấn công. Nó đồng thời làm rõ rủi ro của token approval, MEV và các cơ chế tự động trên Ethereum.
- Bot Jaredfromsubway.eth bị khai thác qua một honeypot on-chain, làm thất thoát hơn 7,5 triệu USD.
- Hacker dùng các hợp đồng và pool giả để dụ hệ thống tự động cấp quyền token.
- Vụ việc làm nổi bật rủi ro của token approval, MEV và các chiến lược giao dịch tự động trên Ethereum.
Vụ tấn công vào bot Jaredfromsubway.eth diễn ra như thế nào
Jaredfromsubway.eth là một bot MEV trên Ethereum và đã bị lừa bằng một bộ hợp đồng giả được tạo sẵn để kích hoạt quyền phê duyệt token. Sau khi quyền này được cấp mà không bị thu hồi, hacker đã dùng chúng để rút tiền từ ví của bot.
Blockaid mô tả đây là kiểu tấn công trong đó các hợp đồng do kẻ tấn công kiểm soát đánh lừa hệ thống thực thi MEV tự động, khiến hệ thống cấp approval cho token. Từ đó, số tiền bị chuyển ra ngoài qua một cơ chế backdoor trong một giao dịch.
Những tài sản đã bị rút và dấu vết dòng tiền
PeckShield Alert cho biết hacker đã lấy đi 1.474,58 WETH, 2,87 triệu USDC và 2 triệu USDT. Một phần số tài sản này sau đó được đổi sang 4.400 ETH.
PeckShield Alert cũng cho biết 1.000 ETH đã được chuyển qua Tornado Cash, một dịch vụ trộn giao dịch thường được dùng để che giấu dấu vết on-chain. Hiện chưa rõ số ETH còn lại đã được xử lý theo cách nào.
| Hạng mục | Số liệu |
|---|---|
| Thiệt hại ước tính | Hơn 7,5 triệu USD |
| ETH được yêu cầu hoàn trả | 2.150 ETH |
| WETH bị lấy | 1.474,58 WETH |
| USDC bị lấy | 2,87 triệu USDC |
| USDT bị lấy | 2 triệu USDT |
| ETH đã được đổi sang | 4.400 ETH |
| ETH đã qua Tornado Cash | 1.000 ETH |
Phản ứng của operator và đề nghị white hat bounty
Người vận hành bot, được nhận diện trên chain là ae13, đã đăng thông điệp trực tiếp tới hacker và đề nghị trả thưởng white hat 50% nếu số ETH được hoàn lại trong 48 giờ. Ông cũng nói sẽ theo đuổi mọi biện pháp pháp lý và phối hợp thực thi pháp luật nếu tiền không được trả lại.
Đây không phải là một cam kết mang tính kỹ thuật mà là nỗ lực thương lượng sau sự cố. Hiện chưa rõ hacker có chấp nhận đề nghị này hay không, trong khi thời hạn 48 giờ đang trôi qua.
“Got sandwiched myself. 15 triệu USD bị rút trong một reverse honeypot. Pool giả, token giả, bot của tôi tự phê duyệt cái bẫy.”
– bài đăng trên X của operator Jaredfromsubway.eth
Jaredfromsubway.eth là bot gì và vì sao vụ việc gây chú ý
Jaredfromsubway.eth là một trong những bot sandwich lớn nhất trên Ethereum, chuyên kiếm lợi từ các giao dịch đang chờ xử lý. Sandwich attack thường đặt lệnh mua và bán quanh giao dịch của nạn nhân để hưởng chênh lệch giá tạo ra.
Dữ liệu nghiên cứu được dẫn lại cho thấy từ tháng 11/2024 đến tháng 10/2025, Ethereum có 60.000 đến 90.000 vụ sandwich mỗi tháng và khoảng 70% trong số đó gắn với hệ thống chiến lược của bot này. Tại đỉnh hoạt động, bot từng tạo ra hàng trăm nghìn USD doanh thu mỗi ngày.
Token approval và MEV tạo ra rủi ro gì?
Token approval là cơ chế cho phép một hợp đồng thông minh chi tiêu token thay người dùng, và quyền này vẫn còn hiệu lực cho tới khi bị thu hồi. Mô hình này tiện hơn nhưng cũng làm tăng rủi ro nếu hợp đồng được phê duyệt bị chiếm quyền hoặc thực chất là độc hại.
MEV là lợi nhuận kiếm được từ việc kiểm soát thứ tự, thời điểm hoặc việc đưa giao dịch vào block. Các bot chuyên dụng sẽ quét mempool để tìm cơ hội arbitrage, thanh lý hoặc frontrun, nhưng chính sự tự động đó cũng có thể bị khai thác nếu hệ thống thiếu lớp kiểm soát đủ chặt.
Tổng kết
Vụ Jaredfromsubway.eth cho thấy các hệ thống giao dịch tự động trên Ethereum có thể vừa khai thác được thị trường vừa dễ trở thành mục tiêu của bẫy on-chain. Trong bối cảnh đó, token approval, MEV và việc quản lý quyền truy cập vẫn là các điểm rủi ro cần theo dõi.
