Le bot sandwich Ethereum Jaredfromsubway.eth perd 7,5 M$ via de fausses routes

Jaredfromsubway.eth, considéré comme le plus grand bot sandwich d’Ethereum, a perdu 7,5 millions de dollars lors d’une attaque fondée sur l’approbation de fausses routes de trading. L’attaquant a présenté des chemins que le bot a traités comme légitimes, puis a utilisé les permissions accordées pour retirer WETH, USDC et USDT. Avec une conversion simple à 1 350 wons pour un dollar, la perte atteint environ 10,1 milliards de wons. Le symbole est fort: un bot automatisé conçu pour profiter des transactions d’autrui est devenu victime d’un abus d’autorisation.

Une attaque contre un bot MEV

Les bots sandwich lisent le flux d’ordres des DEX et placent des achats et ventes avant et après une transaction cible. La stratégie repose sur la vitesse, l’automatisation des routes, la concurrence sur le gas et des permissions de tokens étendues. L’attaque a touché cette couche. Une fois les fausses routes approuvées, l’attaquant a utilisé l’allocation ouverte pour déplacer l’ether enveloppé et les stablecoins en dollars. Il s’agit davantage d’un abus d’approval que d’un vol de clé privée.

Signal pour le marché

Une perte de 7,5 millions de dollars est aussi significative pour les investisseurs coréens, au-dessus de 10 milliards de wons. USDC et USDT sont des rails majeurs de liquidité, tandis que WETH sert largement de collatéral et de paire DeFi. Si les fonds passent par plusieurs adresses et swaps, les plateformes coréennes pourraient renforcer la surveillance des dépôts suspects et des portefeuilles externes. Les utilisateurs doivent vérifier les anciennes permissions, les approvals illimités et les routeurs non validés.

Perspectives

L’affaire montre que la rentabilité MEV ne remplace pas une sécurité solide. Les stratégies on-chain à haute fréquence devraient adopter des listes blanches de routeurs, des plafonds d’autorisation, des blocages d’anomalies en temps réel et des retraits multisig. Pour les particuliers, la règle pratique consiste à séparer conservation en bourse et autocustodie, puis à révoquer les permissions inutiles après utilisation d’un DEX.