Ethereum'un Önde Gelen MEV Botu 7.5 Milyon Dolarlık Vurgunla Boşaltıldı

Ethereum ağının en aktif Maksimum Çıkarılabilir Değer (MEV) botlarından biri olan Jaredfromsubway.eth, sofistike bir saldırı sonucu yaklaşık 7.5 milyon dolar değerinde kripto varlığını kaybetti. Siber güvenlik firması Blockaid tarafından tespit edilen olay, botun otomatik işlem onay mekanizmasının manipüle edilmesiyle gerçekleşti. Bu durum, merkezi olmayan finans (DeFi) ekosistemindeki otomatik sistemlerin karşı karşıya olduğu güvenlik risklerini bir kez daha gözler önüne serdi.

Saldırgan, Jaredfromsubway.eth'in özel anahtarlarını ele geçirmek veya yaygın bir DeFi protokolündeki bir güvenlik açığını kullanmak yerine, botun kendi kar arayışındaki mantığını hedef aldı. Blockaid'e göre, saldırgan haftalar süren bir hazırlıkla 66 adet sahte token sözleşmesi ve likidite havuzu oluşturdu. Bu sahte varlıklar, Wrapped Ether (WETH), USD Coin (USDC) ve Tether (USDT) gibi gerçek tokenları taklit ederek, botun normalde takip edeceği kârlı "sandwich saldırısı" fırsatları gibi görünecek şekilde tasarlandı.

Jaredfromsubway.eth, bu sahte işlem rotalarını "kârlı" olarak algıladı ve otomatik olarak saldırganın kontrolündeki yardımcı sözleşmelere token harcama yetkisi verdi. Normalde bu onaylar işlemin ardından tüketilse de, saldırganın kurguladığı rotalar sayesinde bu izinler aktif kaldı. Yeterli sayıda onay toplandıktan sonra saldırgan, botun sözleşmelerinden yaklaşık 1.474 WETH, 2.87 milyon USDC ve 2 milyon USDT'yi tek bir işlemle çekerek varlıkları boşalttı. Çalınan fonların bir kısmı daha sonra gizlilik odaklı bir Ethereum karıştırıcısı olan Tornado Cash'e aktarıldı.

Jaredfromsubway.eth, Ethereum ağındaki "sandwich saldırılarının" yaklaşık %70'inden sorumlu olduğu bilinen, yüksek profilli bir MEV botuydu. Bu tür saldırılar, bir işlemin önüne geçip arkasından işlem yaparak fiyat farkından kar elde etmeyi amaçlar ve genellikle sıradan kullanıcılardan "gizli bir vergi" olarak kabul edilir. Analistler, bu tür saldırıların Ethereum tüccarlarına yıllık yaklaşık 60 milyon dolar maliyeti olduğunu tahmin ediyor. Botun yaklaşık 7.5 milyon dolarlık bu kaybı, otomatik ticaret sistemlerinin karmaşık yapılarındaki potansiyel zafiyetleri ve bu zafiyetlerin piyasa aktörleri üzerindeki etkilerini bir kez daha vurguladı.

Bu olay, merkezi olmayan finans (DeFi) ekosisteminde Maksimum Çıkarılabilir Değer (MEV) kavramı etrafındaki tartışmaları yeniden alevlendirdi. MEV, blok zinciri işlemlerinin sıralamasından elde edilebilecek maksimum değeri ifade eder ve "sandwich saldırıları" gibi stratejilerle etik tartışmalara yol açar. Gelişmiş botların bile hedef alınabilmesi, DeFi'daki güvenlik standartlarının ve otomatik sistemlerin denetiminin ne kadar kritik olduğunu gösteriyor. Bu tür güvenlik ihlalleri, düzenleyicilerin kripto piyasalarına yönelik incelemelerini artırmasına zemin hazırlayabilir.

Blockchain güvenlik firması Blockaid, bu saldırının ne klasik bir oltalama saldırısı ne de geleneksel bir akıllı sözleşme güvenlik açığı olmadığını belirtti. Bunun yerine, botun otomatik fırsat algılama ve onay süreçlerinin kötüye kullanılmasıyla gerçekleştiğini vurguladı. Bu durum, gelecekte benzer otomatik ticaret botlarının ve DeFi protokollerinin, kendi algoritmik mantıklarını hedef alan daha sofistike "honeypot" tarzı saldırılara karşı daha dirençli mekanizmalar geliştirmesi gerektiğini gösteriyor. Jaredfromsubway.eth operatörü kaybı 15 milyon dolar olarak belirtirken, çalınan fonların geri dönüşü için 1 milyon dolarlık ödül teklif etti. Ancak fonların Tornado Cash'e aktarılması geri alım çabalarını zorlaştırıyor.