Le bot MEV ‘jaredfromsubway’ piégé et vidé de 7,5 millions de dollars dans un contre-MEV massif
Le célèbre bot MEV jaredfromsubway a perdu 7,5 millions de dollars dans un honeypot de contre-MEV. Retour sur l'attaque et la tentative d'escroquerie qui a suivi.
Le bot MEV le plus redouté d’Ethereum vient de se faire retourner son propre jeu. Jaredfromsubway, connu pour avoir siphonné des millions via le sandwich trading, s’est retrouvé pris au piège d’un honeypot sophistiqué. Et comme si cela ne suffisait pas, un imposteur a tenté d’exploiter l’événement pour monter une arnaque à la prime.
Le bot jaredfromsubway s’est bâti une réputation sulfureuse dans l’écosystème DeFi. Spécialisé dans les attaques de type sandwich, il détectait les transactions en attente dans la mempool Ethereum, les encadrait avec ses propres ordres pour manipuler le prix, et empochait la différence au détriment des utilisateurs ordinaires. Une stratégie d’extraction de valeur maximale (MEV) particulièrement agressive, qui lui aurait permis d’accumuler des dizaines de millions de dollars au fil des années.
Mais cette fois, c’est lui qui s’est fait sandwicher. Des données on-chain analysées par plusieurs chercheurs indépendants révèlent que le bot a mordu à l’hameçon d’un honeypot de contre-MEV — un contrat intelligent délibérément conçu pour attirer les bots prédateurs et les vider de leurs fonds. La mécanique est redoutablement simple : le contrat simule une opportunité d’arbitrage trop belle pour être vraie, pousse le bot à engager ses liquidités, puis verrouille les fonds avant que le retrait ne soit possible. Le montant drainé s’élève à environ 7,5 millions de dollars.
Ce type d’attaque, parfois appelé counter-MEV ou MEV revenge, illustre une escalade technique dans la guerre des bots qui se joue dans les couches basses d’Ethereum. Les opérateurs de nœuds et les chercheurs en sécurité DeFi observent ce phénomène depuis plusieurs mois, mais rarement à une telle échelle.
Un faux compte X, une prime d’un million de dollars et une tentative d’arnaque
Dans les heures qui ont suivi l’incident, un compte X (anciennement Twitter) se réclamant de l’identité de jaredfromsubway a publié un message affirmant des pertes de 15 millions de dollars — soit le double du montant réel documenté on-chain — et proposait une prime d’un million de dollars à quiconque aiderait à récupérer les fonds. Une mise en scène classique destinée à attirer des victimes potentielles vers une arnaque à la récupération de fonds.
Les éléments disponibles pointent clairement vers un imposteur. Les données blockchain confirment une perte d’environ 7,5 millions de dollars, pas 15 millions. Par ailleurs, les véritables opérateurs de bots MEV de cette envergure ne communiquent jamais publiquement — leur survie dépend précisément de leur discrétion. Ce compte semble avoir profité de la visibilité médiatique de l’incident pour tenter d’escroquer des utilisateurs peu méfiants, une tactique bien rodée dans l’espace crypto.
Ce que cet incident révèle sur la guerre souterraine du MEV
L’affaire jaredfromsubway met en lumière une réalité souvent ignorée du grand public : la mempool Ethereum est un champ de bataille permanent. Les bots MEV s’y affrontent en millisecondes, exploitant chaque transaction non confirmée pour extraire de la valeur. Les utilisateurs DeFi en font les frais quotidiennement, sous forme de slippage anormalement élevé ou de transactions rejetées.
Mais la sophistication croissante des contre-mesures change la donne. Les honeypots de contre-MEV représentent une forme de justice poétique algorithmique : retourner les armes des prédateurs contre eux-mêmes. Cette dynamique pousse les développeurs à concevoir des contrats toujours plus complexes, et les bots à intégrer des couches de vérification supplémentaires avant d’engager des capitaux importants.
Pour l’écosystème DeFi dans son ensemble, cet épisode rappelle que la transparence de la blockchain est à double tranchant : elle expose les utilisateurs aux bots MEV, mais elle permet aussi de les tracer, de les étudier, et finalement de les piéger. La prochaine bataille se jouera probablement autour des solutions de protection de la mempool comme les private RPCs et les systèmes de commit-reveal.
AVIS DE NON RESPONSABILITÉ
Cet article est publié à titre indicatif et ne doit pas être considéré comme un conseil en investissement. Certains des partenaires présentés sur ce site peuvent ne pas être régulés dans votre pays. Il est de votre responsabilité de vérifier la conformité de ces services avec les régulations locales avant de les utiliser.
