كشفت شركة الأمان Blockaid في 21 يونيو عن تعرض روبوت هجمات الساندويتش سيئ السمعة على شبكة الإيثيريوم، JaredFromSubway، لهجوم من قِبل خصوم استغرقوا أسابيع في نشر 66 عقدًا مزيفًا للأصول الرقمية صُممت بعناية كـ«مصائد»؛ إذ استغلت منطق الربح التلقائي للروبوت لإغراءه بالموافقة على تراخيص إنفاق توكنات مزروعة، قبل أن يتم في النهاية تفريغ الأصول الحقيقية الموجودة داخل محفظة الروبوت مرة واحدة.
نشر 66 عقدًا مزيفًا للتوكنات ومنطق الهجوم
استعدّ المهاجمون لمدة أسابيع، ونشروا تباعًا 66 عقدًا مزيفًا للتوكنات، صُممت لتُحاكي بدقة المظهر الظاهري للأصول الرئيسية الثلاثة Wrapped Ether (WETH) وUSD Coin (USDC) وTether (USDT).
تتمحور الفكرة الأساسية لدى JaredFromSubway حول المسح المستمر لذاكرة معاملات الإيثيريوم (mempool) وتحديد مسارات المراجحة للأصول ذات السيولة المرتفعة بشكل تلقائي؛ إذ تبدو هذه العقود المزيفة للروبوت مطابقة تمامًا للمسارات الحقيقية. وفي العادة، «يشمّ» الروبوت الفرصة مباشرة، ثم يوافق على إنفاق التوكنات لصالح عقد مساعد يتحكم فيه المهاجمون.
أشار Blockaid إلى: «قد خدع العقد الذي يسيطر عليه المهاجم نظام التنفيذ التلقائي MEV، ما جعله يمنح ترخيصًا للتوكنات؛ ثم استُخدمت هذه الترخيصات لاحقًا لسحب الأموال». وأوضح أن الترخيص الواحد فحسب قد كشف عن أكثر من 92 WETH. وفي الختام، استخدم العقد الأخير هذه الترخيصات المفتوحة لتنظيف الأصول الحقيقية الموجودة داخل محفظة الروبوت مرة واحدة؛ ويمكن الاطلاع على معاملات السلسلة على Etherscan.
السجل التاريخي لـ JaredFromSubway: إيرادات خِبرة بأكثر من 34 مليون إلى 40 مليون دولار خلال الذروة
منذ بدء نشاط JaredFromSubway في مطلع عام 2023، نفّذ مئات الآلاف من هجمات الساندويتش، وبلغت إيرادات الذروة الإجمالية خلال الفترة ما بين 34 مليون و40 مليون دولار. وفي أشد فترات MEV ضراوةً، كانت نحو 70% من هجمات الساندويتش على مستوى شبكة الإيثيريوم الشهري تأتي من هذا الروبوت.
في مايو 2026، نفّذ JaredFromSubway هجوم ساندويتش على تبديل توكنات Vitalik Buterin، واستخدم أكثر من 1.14 مليون دولار من WETH لتنفيذ كمين؛ ما أثار اهتمامًا واسعًا. ولا يُعدّ هذا النوع من أحداث «صيد بوتات MEV» أمرًا غير مألوف—ففي عام 2023، استخدم مُتحقق خبيث المنطق نفسه لسحب قرابة 25 مليون دولار من عدة روبوتات ساندويتش في وقت واحد؛ لكن هذه المرة جاء الأسلوب أكثر دقة، عبر استخدام 66 عقدًا مزيفًا بدل اختراق نقطة واحدة.
نسختان لأرقام الخسائر: 7.5 مليون على السلسلة مقابل 15 مليون دولار وفقًا لمزاعم المصمّم
خلص تحليل Blockaid وتحليل PeckShield على السلسلة إلى أن الخسائر كانت بنحو 7.5 مليون دولار. وفي المقابل، زعم مُصمّم JaredFromSubway لاحقًا أن إجمالي الخسائر، عند احتساب الأجزاء غير المرئية مباشرة على السلسلة، يقترب من 15 مليون دولار، وأنه تم الإعلان عن منحة قدرها 1 مليون دولار مقابل إعادة الأموال من قِبل المهاجمين.
الأسئلة الشائعة
كيف جعل المهاجم JaredFromSubway يمنح تراخيص للتوكنات دون علم؟
وفقًا لتحليل Blockaid، فإن 66 عقدًا مزيفًا نشرها المهاجم تحاكي بالكامل مظهر أصول سيولة عالية حقيقية (WETH وUSDC وUSDT)، وبالنسبة لمنطق المسح التلقائي لدى الروبوت فهي لا تختلف عن المسارات الحقيقية. وبعد قيام الروبوت بتحديد «فرصة مراجحة» تلقائيًا والموافقة على إنفاق التوكنات، استخدم العقد الأخير لدى المهاجم هذه الترخيصات المفتوحة لمسح الأصول الحقيقية مرة واحدة. مصدر الثغرة لم يكن خللًا في الكود، بل منطق الربح لدى الروبوت ذاته.
هل يمكن استرداد الأموال عبر منحة 1 مليون دولار لـ JaredFromSubway؟
بحسب ما ورد، ورغم أن مُصمم JaredFromSubway قد أعلن عن منحة قدرها 1 مليون دولار، فإن معدل رد الأموال في مثل هذه الهجمات يكون منخفضًا جدًا وفقًا للحالات التاريخية. وذكر المقال أن «احتمال استعادة هذا المبلغ حاليًا ليس مرتفعًا».
لماذا تتباين تقديرات شركة الأمان Blockaid والمصمّم بشكل كبير (7.5 مليون مقابل 15 مليون)؟
وفقًا لما ورد، فإن تحاليل السلسلة لدى Blockaid وPeckShield لا يمكنها تتبع خسائر الأصول على السلسلة المرئية مباشرة فقط (بنحو 7.5 مليون دولار)؛ بينما تضمّن مبلغ 15 مليون دولار الذي زعمه مُصمم JaredFromSubway الأجزاء غير المرئية مباشرة على السلسلة، لكن لم يتم الكشف عن تفاصيل تركيبتها.
