Notorious ‘sandwich attack’ bot Jaredfromsubway.eth exploited for $7.5M

ポイント

• MEV（最大抽出可能価値）botとして悪名を轟かせたjaredfromsubway.ethが、約750万ドル相当の資金を奪取される被害を受けた
• 同botは2024年11月〜2025年10月の期間、Ethereum（イーサリアム）上で発生したサンドイッチ攻撃の実に70%を担っていたとされる
• 「攻撃者が攻撃される」という皮肉な構図で、DeFi（分散型金融）のセキュリティ問題が改めて浮き彫りに
• 大規模MEV botといえども自身のスマートコントラクトの脆弱性からは逃れられないことが示された

Ethereumのサンドイッチ攻撃で悪名を馳せたMEV bot「jaredfromsubway.eth」が、今度は自分自身がエクスプロイト（悪用）の標的となり、約750万ドルを搾り取られた。皮肉にも、他者のトランザクションを食い物にしてきたbotが、同じDeFiの暗部に飲み込まれた格好だ。

「サンドイッチ攻撃bot」とは何か、その実態

サンドイッチ攻撃とは、ユーザーがDEX（分散型取引所）でトークンを売買しようとした際、攻撃者がそのトランザクションを「前後から挟み込む」手口だ。具体的には、被害者の注文の直前に買い注文を滑り込ませて価格を釣り上げ、被害者が割高な価格で約定した直後に売り抜けて利益を確定する。いわゆるフロントランニングの一形態で、ユーザーはスリッページ（価格滑り）という目に見えないコストを強いられる。

jaredfromsubway.ethはこの手口を極限まで最適化したbotで、長期間にわたりEthereumのmempool（未確認トランザクションのプール）を監視し続けてきた。2024年11月から2025年10月という約1年間で、Ethereum上のサンドイッチ攻撃全体の70%を占めていたという数字は異常としか言いようがない。DeFiユーザーの損失の大半が、事実上このbotに吸い上げられていた計算になる。

「やられた」側になるまで

今回の750万ドルの流出は、jaredfromsubway.eth自身のスマートコントラクトに潜んでいた脆弱性を突かれたものとみられる。詳細な攻撃ベクター（侵入経路）はまだ精査中の部分もあるが、構図としては明快だ。高度なMEV botを運営する者も、コードに欠陥があれば同様に食われる。

この逆転劇には相応の示唆がある。MEV botの運営者は巨額の利益を積み上げる一方で、その資金はオンチェーン上に晒されたままだ。コントラクトの設計ミス一つで、積み上げた利益ごと持っていかれるリスクを常に抱えている。セキュリティ監査を怠れば、いつ同じ目に遭ってもおかしくない。

筆者が注目しているのは、攻撃の「対象が変わった」という点だ。これまでは一般のDEXユーザーが被害を受けていたが、今回はその搾取者自身が標的になった。DeFiのセキュリティ競争は、より高いレイヤーに移行しつつあるとみている。

市場への含意

DeFiユーザーへの直接的な影響は今回の件では限定的だ。ただし、jaredfromsubway.ethの活動が停止または縮小すれば、DEX上のサンドイッチ被害件数が一時的に減少する可能性はある。板が薄い小型トークンのスワップをよく行うトレーダーには、短期的にはポジティブな話かもしれない。

一方で、別の攻撃者が空いたポジションを埋めるシナリオも十分ありえる。MEVの構造的問題はEthereumのアーキテクチャに起因する部分が大きく、プロトコルレベルの対策なしに根絶はできない。今回の事件でMEV対策への関心が高まれば、EigenLayer（アイゲンレイヤー）やPBS（Proposer-Builder Separation）などの議論が再燃するかもしれない。

スマートコントラクトリスクという観点では、改めて市場全体に警鐘を鳴らす事例だ。どれだけ洗練されたbotでも、コードは人間が書く。750万ドルという損失額は、監査コストの何十倍にも相当する。

まとめ

jaredfromsubway.ethは約1年間、Ethereumの「サンドイッチ攻撃市場」をほぼ独占していた。その帝王が750万ドルを奪われたという今回の事件は、DeFiの無法地帯ぶりを象徴している。攻撃者も攻撃される。その冷厳な現実は、プロトコルを問わずDeFiに関わる全員が直視すべき教訓だ。MEVの問題は特定のbotの退場で解決しない。構造的な解決策を議論する段階に来ている。

よくある質問

Q1. サンドイッチ攻撃とは何か、MEVとの関係は？

サンドイッチ攻撃とは、DEXでユーザーのトランザクションが処理される前後に、攻撃者が意図的に注文を挿入して価格を操作し、差益を抜き取る手法だ。MEV（Maximal Extractable Value＝最大抽出可能価値）の代表的な手口の一つで、ブロック生成者や高速botがmempool内のトランザクションを監視・操作することで実現する。被害者は意図せず不利なレートで約定させられ、その差額が攻撃者の利益になる。

Q2. jaredfromsubway.ethが受けた750万ドルのエクスプロイトはどのような手口だったのか？

現時点では調査が続いているものの、同botが運用するスマートコントラクト内の脆弱性を第三者に突かれた可能性が高いとされている。MEV botは大量の資金をコントラクト内で保有・運用するため、コードに欠陥があると攻撃者にとって格好の標的になる。詳細な攻撃ベクターについては、オンチェーン分析コミュニティによる検証が進んでいる段階だ。