Как сэндвич-бота Jared развели на ~$14M

Если ты в этом пространстве достаточно давно, тебя наверняка хоть раз зажимал в тиски jaredfromsubway.

Без сомнений, ты о нём слышал.

Сегодня его обыграли на его же поле - примерно на $14M.

Jared - это сэндвич-бот (бот, который "зажимает" чужую сделку своими сделками с двух сторон, зарабатывая на сдвиге цены), и лучший в своём деле.

Большинство таких ботов настроены следить за конкретными пулами или токенами, но Jared сидит почти везде. Какой бы ни был токен и сколько бы ни было промежуточных переходов (хопов - переходов через несколько пулов в одной сделке) - если есть возможность заработать, Jared будет там.

На базовом уровне сэндвич-боты работают так: они фронтранят чужой своп (фронтран - ставят свою сделку прямо перед чужой, в том же направлении), а потом бэкранят его (бэкран - сделка сразу после чужой), сбрасывая токены, купленные на фронтране.

Атакующий вывернул эту механику против самого бота.

Он задеплоил больше сотни фейковых пар в стиле Uniswap V2 и фейковых ERC20-токенов

Пары прикидывались обычными Uniswap-парами - но на деле вся ликвидность сидела в фейковых токенах-обёртках, которые контролировал сам атакующий.

Маршруты были собраны так, чтобы после каждого "свопа" бот Jared получал маленькую прибыль в настоящих токенах - это подманивало его автоматическую с

истему поиска прибыли. Атакующий слал собственные фейковые свопы, и бот Jared послушно бэкранил эти подставные изменения состояния пула.

Чтобы исполнить каждый такой "фейковый арбитраж" (арбитраж - заработок на разнице цен), боту Jared приходилось одобрять (approve - выдавать контракту разрешение тратить твои токены) реальные активы - WETH, USDC или USDT.

Эти одобрения копились по десяткам фейковых токенов, и бот их не отзывал - скорее всего, принимал за обычные контракты Uniswap-пар.

В итоге у атакующего осталось 50 живых разрешений (allowances - выданное право списывать токены) на контракт Jared: 16 на WETH, 20 на USDC и 14 на USDT.

Примерно через 18 минут атакующий пустил эти разрешения в ход и слил:
- 4,759 WETH
- 3.58M USDC
- 2.53M USDT

Чисто сыграно.

https://x.com/0xquit/status/2068503394839634268