🤖1500만 달러 털려버린 MEV 봇 source

jaredfromsubway는 DEX에서 프론트/백런닝 등 샌드위치 공격으로 오랜 기간 돈복사를 했던 유명 자동화 MEV 봇

1. 코드를 뚫은 게 아니다

• 공격자는 66개 가짜 래퍼 토큰과 풀을 만들어 고수익 차익거래처럼 위장
• Jared 봇은 꿀통으로 판단해 공격자 컨트랙트에 WETH·USDC·USDT 사용 권한을 승인

• 핵심 보안 게이트는 우회되지도 않았음

2. 작은 수익으로 신뢰를 샀다

• 초반엔 소액 거래를 정상 체결해 이상이 없는 것처럼 보이게 함
• 봇이 거래 규모와 승인 한도를 키우자, 남아 있던 권한으로 약 $15M을 인출

• 전형적인 개구리 삶기 방식

3. 자동화의 약점은 코드보다 권한

• approve는 단순 거래 절차가 아니라 상대에게 열어준 신용한도
• 봇이 빠르고 자율적일수록 잘못된 상대에 대한 손실도 자동으로 확대

• 코드가 안전해도 경제적 판단을 조작당하면 소용없음

4. 다음 보안 경쟁은 에이전트 통제

• 토큰·라우트 화이트리스트, 거래별 승인 한도, 즉시 권한 회수, 자금 격리가 필수
• 에이전트, MEV 봇 시대의 핵심 인프라는 똑똑한 실행이 아니라 더 좁은 권한 설계