MEV Bot khét tiếng JaredFromSubway mất 7,5 triệu USD vì bẫy honeypot on-chain

MEV Bot JaredFromSubway bị bẫy mất 7,5 triệu USD

Một kẻ tấn công vừa rút cạn khoảng 7,5 triệu USD từ bot MEV mang tên JaredFromSubway — một trong những hệ thống thực hiện sandwich attack tích cực nhất trên mạng Ethereum. Sự việc được công ty bảo mật Blockaid ghi nhận và công bố vào ngày 20/6/2026.

Bot MEV bị đánh lừa như thế nào?

JaredFromSubway vận hành chiến lược tự động: liên tục quét mempool của Ethereum để tìm kiếm các giao dịch có thể khai thác lợi nhuận — một kỹ thuật gọi là Maximal Extractable Value (MEV). Bot thực hiện các lệnh front-run và back-run quanh giao dịch của người dùng thông thường, tạo ra chênh lệch giá, hay còn gọi là sandwich attack.

Con bot này từng gây chú ý lớn vào tháng 4/2023 khi chỉ trong một ngày đốt hơn 1 triệu USD tiền phí gas, tương đương gần 8% tổng lượng gas tiêu thụ toàn mạng Ethereum.

Lần này, kẻ tấn công không nhắm vào lỗ hổng hợp đồng thông minh, không thực hiện tấn công phishing, cũng không đánh cắp khóa riêng. Thay vào đó, họ dành nhiều tuần để triển khai 66 hợp đồng token giả mạo mô phỏng các tài sản phổ biến như Wrapped Ether (WETH), USD Coin (USDC) và Tether (USDT).

Dưới góc nhìn của bot, các hợp đồng này trông giống hệt những cơ hội lợi nhuận mà nó vẫn săn tìm. Bot sập bẫy, cấp quyền chi tiêu token (token approval) cho các hợp đồng phụ do kẻ tấn công kiểm soát — chỉ một lần phê duyệt đã trao tay hơn 92 WETH. Một hợp đồng cuối cùng sau đó lợi dụng các quyền truy cập đã được mở để quét sạch tài sản thật từ ví bot.

Bẫy reverse-MEV: lấy tốc độ làm điểm yếu

Theo Blockaid, đây là kiểu tấn công mà "các hợp đồng do kẻ tấn công kiểm soát đánh lừa hệ thống thực thi MEV tự động để cấp quyền token approval, sau đó dùng quyền đó rút cạn tài sản." Sự hung hăng và tốc độ phản ứng — vốn là thế mạnh của bot — đã bị biến thành điểm yếu chí mạng.

Hình thức săn bot MEV không phải mới. Năm 2023, một validator độc hại đã rút khoảng 25 triệu USD từ các bot sandwich attack trên Ethereum.

Theo dữ liệu từ PeckShield, tài sản bị đánh cắp gồm 1.474,58 WETH, 2,87 triệu USDC và 2 triệu USDT. Kẻ tấn công đã hoán đổi toàn bộ sang khoảng 4.400 ETH và nhanh chóng nạp 1.000 ETH vào Tornado Cash để rửa dấu vết.

Chủ bot đề nghị thưởng 1 triệu USD

Chủ sở hữu bot MEV ước tính thiệt hại thực tế lên tới 15 triệu USD — cao hơn đáng kể so với con số 7,5 triệu USD mà Blockaid và PeckShield xác định từ dữ liệu on-chain. Người này đã công bố phần thưởng 1 triệu USD cho bất kỳ ai hỗ trợ thu hồi tài sản, đồng nghĩa khả năng lấy lại tiền gần như phụ thuộc hoàn toàn vào việc kẻ tấn công có chấp nhận đề nghị đó hay không.

Vụ việc một lần nữa làm nổi bật những rủi ro tiềm ẩn trong hệ sinh thái MEV, đồng thời tái khởi động tranh luận về sandwich attack — một chiến lược lâu nay bị xem như khoản thuế vô hình đánh lên những nhà giao dịch thông thường.