以太坊三明治机器人遭设局损失750万美元，猎人变猎物的痛苦教训

以太坊最知名、也最具争议性的 MEV（最大可提取价值）机器人之一 Jaredfromsubway.eth，近日遭骇客利用其自身自动交易逻辑设局，最终损失超过 750 万美元。

攻击者花数周布局，利用假流动性池设下陷阱

这名多年来透过「三明治攻击」从交易者身上获利的MEV 玩家，这次反而成为受害者。

资安公司Blockaid 表示，此次事件并非一般钓鱼攻击，也不是合约漏洞导致，而是攻击者精心设计的一场「诱捕行动」，成功操纵机器人的决策系统。

根据Blockaid 分析，攻击者在数周内部署数十个假代币合约与虚假的流动性池，伪装成具有套利空间的交易机会。

部分代币甚至刻意模仿WETH、USDC 与USDT 等常见资产，使其看起来像是真实的去中心化交易所流动性池。

这些诱饵成功骗过Jaredfromsubway.eth 的MEV 机器人。当机器人侦测到看似存在获利空间后，便自动授权（Approval）由攻击者控制的辅助合约代为操作资产。

在初期测试中，这些授权会在交易完成后立即使用，但后续攻击者刻意设计新的交易路径，使部分授权在交易结束后仍持续有效。

由于授权未被撤销，攻击者取得持续提取资产的权限，随后直接从Jare​​dfromsubway.eth 的合约中转出大量WETH、USDC 与USDT。

根据CoinDesk 检视链上数据，遭窃资产总价值超过750 万美元，其中部分资金事后已被转入混币协议Tornado Cash，试图掩盖资金流向。

三明治攻击每年让交易者损失约6,000 万美元

Jaredfromsubway.eth 自2023 年初开始活跃，是以太坊生态中最具代表性的MEV 参与者。

所谓三明治攻击，是指机器人监控记忆池（Mempool）中的待确认交易，在用户交易前抢先买入，待用户以较差价格成交后，再迅速卖出获利，等同于向交易者征收一笔隐形税。

虽然这类行为不属于传统骇客攻击，但在加密社群中长期被视为掠夺性策略，不仅提高Gas 费，也不会为网路或使用者带来任何价值。

统计显示，2024 年11 月至2025 年10 月期间，以太坊每月发生约6 万至9 万次三明治攻击，估计每年造成交易者约6,000 万美元损失。其中约70% 的攻击都与Jaredfromsubway.eth 有关。

连Vitalik 几美元的交易都不放过

CoinDesk 曾于今年5 月报导，Jaredfromsubway.eth 甚至连以太坊共同创办人Vitalik Buterin 的小额交易都不放过。

当时机器人动用约114 万美元资金提前抢跑Vitalik 的交易，最终仅获利约4 美元，扣除手续费后甚至几乎没有赚钱。

尽管收益微乎其微，但事件显示该机器人已高度工业化，会持续扫描记忆池中的所有交易，试图从任何交易中插入获利机会。