Как сэндвич-бота Jared развели на ~$14M
Если ты в этом пространстве достаточно давно, тебя наверняка хоть раз зажимал в тиски jaredfromsubway.
Без сомнений, ты о нём слышал.
Сегодня его обыграли на его же поле - примерно на $14M.
Jared - это сэндвич-бот (бот, который "зажимает" чужую сделку своими сделками с двух сторон, зарабатывая на сдвиге цены), и лучший в своём деле.
Большинство таких ботов настроены следить за конкретными пулами или токенами, но Jared сидит почти везде. Какой бы ни был токен и сколько бы ни было промежуточных переходов (хопов - переходов через несколько пулов в одной сделке) - если есть возможность заработать, Jared будет там.
На базовом уровне сэндвич-боты работают так: они фронтранят чужой своп (фронтран - ставят свою сделку прямо перед чужой, в том же направлении), а потом бэкранят его (бэкран - сделка сразу после чужой), сбрасывая токены, купленные на фронтране.
Атакующий вывернул эту механику против самого бота.
Он задеплоил больше сотни фейковых пар в стиле Uniswap V2 и фейковых ERC20-токенов
Пары прикидывались обычными Uniswap-парами - но на деле вся ликвидность сидела в фейковых токенах-обёртках, которые контролировал сам атакующий.
Маршруты были собраны так, чтобы после каждого "свопа" бот Jared получал маленькую прибыль в настоящих токенах - это подманивало его автоматическую с
истему поиска прибыли. Атакующий слал собственные фейковые свопы, и бот Jared послушно бэкранил эти подставные изменения состояния пула.
Чтобы исполнить каждый такой "фейковый арбитраж" (арбитраж - заработок на разнице цен), боту Jared приходилось одобрять (approve - выдавать контракту разрешение тратить твои токены) реальные активы - WETH, USDC или USDT.
Эти одобрения копились по десяткам фейковых токенов, и бот их не отзывал - скорее всего, принимал за обычные контракты Uniswap-пар.
В итоге у атакующего осталось 50 живых разрешений (allowances - выданное право списывать токены) на контракт Jared: 16 на WETH, 20 на USDC и 14 на USDT.
Примерно через 18 минут атакующий пустил эти разрешения в ход и слил:
- 4,759 WETH
- 3.58M USDC
- 2.53M USDT
Чисто сыграно.
https://x.com/0xquit/status/2068503394839634268
X (formerly Twitter)
Quit (@0xQuit) on X
If you've been in this space long enough, you have probably been sandwiched by jaredfromsubway.
No doubt you've heard of him.
Today, he was beaten at his own game to the tune of ~$14M.
1/🧵
1
87
14
10
87
14
10June 21, 2026 44.2K 840
