$10.6M лежат на блокчейне для вайбкодеров

20 июня лучшего сэндвич-бота Ethereum jaredfromsubway обнесли на $15M из-за того, что бот не отзывал апрувы, эксплойт разобрали во всем твиттере и всех тг каналах.

Но интереснее другое: Джаред был первым из 394 БОТОВ. И это не догадка, задолго до этого, в апреле 2025 вышла статья, где проанализировали >1000 MEV-ботов и разложили следующее:
- 394 с уже собранными и рабочими эксплойтами
- $10.6M (на тот момент) суммарно у них на балансах

Дыра у всех одна. Боты держат на балансе чужие WETH, USDC, USDT и раздают approve ради скорости, а доступ проверяют кое-как: где-то tx.origin вместо msg.sender, где-то незащищённый вызов. Эксплойт просто заставляет контракт бота отправить свои токены атакующему.

Ровно это и случилось с Джаредом.
Авторы статьи пишут, что 6/10 топовых ботов по объёму подвержены эксплойту. Прошло больше года со статьи, но несмотря на это, никто из владельцев MEV ботов не исправлял уязвимости (судя по кейсу Джареда)

Вероятно, единственный настоящий фаервол этих $10.6M сейчас - отключение Fable 5.