이 사건은 보안 회사 Blockaid에 따르면 봇의 자동 거래 시스템이 공격자에게 토큰 승인을 부여했을 때 발생했다. 이것은 일반적인 피싱 공격이나 피해자 계약의 직접적인 버그가 아니었지만 봇의 거래 워크플로우를 악용한 것으로 나타났다.
악용 세부 정보
공격자는 WETH, USDC, USDT의 외관과 기능을 모방하는 66개의 가짜 토큰 계약과 가짜 유동성 풀을 사용했다. 이러한 계약은 봇이 지출 권한을 승인하도록 속여서 나중에 JaredFromSubway MEV 봇 계약의 자금을 빼앗기 위해 사용되었다. 마지막 트랜잭션은 열린 승인을 사용하여 봇 계약에서 공격자의 지갑으로 WETH, USDC, USDT를 전송했다.