币圈界报道：

顶级以太坊套利机器人遭“反向三明治”攻击，巨额资金失窃

6月22日，链上知名自动化交易实体Jaredfromsubway.eth的运营方宣布，其钱包遭遇复杂链上攻击，导致超过750万美元资产被非法转移。该运营者已公开向攻击者提出50%白帽赏金承诺，要求在48小时内归还1474.58枚WETH、287万枚USDC及200万枚USDT，并强调将动用法律与执法资源追责。

攻击者设伏数周，以虚假流动性诱骗自动化系统

安全机构调查指出，此次攻击是一场高度策划的“权限劫持型蜜罐”行动。攻击者提前部署了66个伪装成主流稳定币（如WETH、USDC、USDT）的虚假代币合约与流动性池，制造人为价格偏差，诱导自动化套利程序误判为高收益机会。

当目标机器人在这些虚假池中执行交易时，其系统自动授予了攻击者控制的合约访问权限。由于权限未被及时撤销，攻击者在单笔交易内即触发后门机制，完成对投资组合的清空。

目前，攻击者已将部分被盗资产兑换为4400枚ETH，并通过混币服务转移其中1000枚，显著增加了追踪难度。

曾主导七成三明治攻击，自身却成“反向猎物”

Jaredfromsubway.eth曾是以太坊生态中最具影响力的“三明治攻击”机器人之一，其策略依赖于监控交易内存池并抢先执行有利可图的交易，从而从用户交易引发的价格波动中获利。

数据显示，在2024年11月至2025年10月期间，该机器人参与了约70%的三明治攻击事件，高峰期日收入可达数十万美元。甚至曾在某次交易中成功抢先执行以太坊联合创始人Vitalik Buterin的操作。

运营者在社交平台感慨：“我竟也被‘三明治’了——一个反向蜜罐夺走了1500万美元。假池子、假代币，我的机器人自己批准了陷阱。” 这一事件凸显了自动化系统在面对复杂欺诈手段时的脆弱性。

该案例揭示了加密领域两大现象的交汇：一方面，机器人持续从散户手中榨取价值；另一方面，黑客正将这些工具本身作为攻击目标，实现更高阶的掠夺。

权限管理漏洞与去中心化金融风险共存

当前以太坊用户普遍采用“一次性授权”机制，允许智能合约长期访问其代币余额。这种便利性带来巨大安全隐患——即使用户断开连接，授权仍有效，除非主动撤销。

本次事件再次引发对最大可提取价值（MEV）体系的反思。所谓MEV，指搜索者通过操控区块内交易排序获取利润，包括套利、清算与抢先交易等行为。而“广义抢先交易者”正是那些复制交易、替换地址并在原交易前提交新版本的自动化系统。

尽管有专业搜索者使用私有中继网络规避竞争，但底层授权机制的缺陷依然存在。有评论指出：“没人会为此感到高兴，但若你曾被这个机器人‘三明治’过，恐怕此刻心情并不沉重。”

此外，“白帽赏金”这一说法在安全社区引发争议。尽管企业常以此方式试图挽回损失，但成功率极低。例如2022年Qubit Finance曾悬赏200万美元追回7800万美元被盗资金，最终未能兑现。