In der dritten Dekade des Juni 2026 ereignete sich in der Ethereum-Netzwerk ein Vorfall, der die Gemeinschaft von Entwicklern und Händlern erschütterte. Einer der aggressivsten und profitabelsten Bots zur Maximierung des Wertes (MEV), bekannt als JaredFromSubway.eth, wurde Opfer eines raffinierten Angriffs. Durch Manipulation der Logik des Smart Contracts verloren die Betreiber des Bots zwischen 7,5 und 15 Millionen US-Dollar. Der Vorfall, der von den Analyseplattformen Blockaid und PeckShield dokumentiert wurde, ist ein anschauliches Beispiel dafür, wie Automatisierung im Bereich der dezentralen Finanzen (DeFi) zu einem fatalen Fehler werden kann.
Die Mechanik des Angriffs: Eine Falle für den Roboter
Der Bot JaredFromSubway spezialisierte sich auf sogenannte „Sandwich-Angriffe' (Sandwich Attacks). Sein Algorithmus arbeitete einwandfrei: Er überwachte den Mempool (die Warteschlange ausstehender Transaktionen), identifizierte große Aufträge von normalen Nutzern, schnitt diese ab, indem er Vermögenswerte vor der Transaktion kaufte und sie sofort danach verkaufte. Dies ermöglichte es dem Bot, vom Slippage (Preisunterschied) zu profitieren. Doch genau diese Automatisierung wurde zur Ursache des Zusammenbruchs.
Die Angreifer führten eine sorgfältige Aufklärung durch, indem sie eine Reihe von Testtransaktionen durchführten, um die Mikrostruktur der Logik zur Suche nach Arbitrage-Fenstern des Bots zu analysieren. Anschließend bereiteten sie einen benutzerdefinierten Smart Contract mit einem gefälschten Token vor und simulierten ein hohes Handelsvolumen. Als der Algorithmus von JaredFromSubway versuchte, diesen „großen Fisch' abzufangen, geriet er in die Falle.
Beim Interagieren mit dem bösartigen Contract führte der Router des Bots den Funktionsaufruf `approve()` aus und gewährte den Hackern uneingeschränkte Zugriffsberechtigungen auf sein Guthaben. Der bösartige Contract aktivierte sofort die Methode `transferFrom`, wies die angesammelte Liquidität ab – mehr als 92,16 WETH sowie die Stablecoins USDC und USDT – und übertrug sie auf von den Angreifern kontrollierte Adressen.
Folgen und Reaktion des Marktes
Historisch gesehen gehörte die Wallet von JaredFromSubway zu den Top-5 der größten Gas-Verbraucher im Ethereum-Netzwerk und generierte erhebliche Einnahmen. Der Verlust eines solchen Volumens an Mitteln war ein Schock für das Ökosystem. Unmittelbar nach der Verifizierung des Angriffs initiierten die Betreiber des Bots einen Notstopp der Transaktionsströme, um weitere Verluste zu verhindern.
Im Versuch, die Mittel zurückzuerhalten, wurde ein Bug-Bounty-Programm (Belohnung für das Melden von Schwachstellen) angekündigt. Ursprünglich belief sich die Summe auf 3 Millionen Dollar, doch im Verlauf von Verhandlungen mit spezialisierten Gruppen von „White Hat'-Hackern wurde das Angebot auf 7,5 Millionen Dollar erhöht.
Systemische Risiken von DeFi
Sicherheitsexperten stellen fest, dass dieser Vorfall ein fundamentales Problem aufdeckt: Das blinde Vertrauen automatisierter Skripte in fremde Smart Contracts. In einer vertrauenslosen Umgebung (trustless environment) macht das Fehlen strenger Limits für Token-Autorisierungen (Token Allowance Limits) selbst die teuersten Systeme verwundbar.
Vertreter der Ethereum Foundation bestätigten, dass die Schwachstelle anwendungsbezogen war und die grundlegenden Konsensmechanismen des Blockchains nicht beeinträchtigte. Allerdings überträgt die Verwendung uneingeschränkter Berechtigungen gemäß den Sicherheitsstandards von Solidity und den ERC-20-Protokollen alle finanziellen Risiken auf den aufrufenden Contract und entzieht dem Betreiber die Möglichkeit, Transaktionen im verteilten Register anzufechten.
