"Der Räuber wurde zur Beute": bekannter Ethereum MEV-Bot verlor bis zu 15 Millionen Dollar nach einer Fake-Token-Falle
- Ein bekannter MEV-Bot, JaredFromSubway, wurde auf Ethereum gehackt.
- Ja, er fiel seiner eigenen Strategie zum Opfer wegen gefälschter Tokens.
- Die Verluste wurden auf einen Bereich von 7,5 Millionen bis 15 Millionen Dollar geschätzt.
Die Analysefirma Blockaid berichtete von einem erfolgreichen Angriff auf einen der bekanntesten MEV-Bots im Ethereum-Ökosystem — jaredfromsubway.eth. Der Vorfall ereignete sich im Juni 2026 und führte zu Verlusten zwischen 7,5 Millionen und mehr als 15 Millionen Dollar, abhängig von der Zählmethodik.
Das Ereignis zog die Aufmerksamkeit der Krypto-Community auf sich, da es sich nicht um einen klassischen Phishing-Angriff oder eine Schwachstelle im Smart Contract handelte, sondern um eine Manipulation der Logik des automatisierten Handelsalgorithmus selbst.
Laut Blockaid gelang es dem Angreifer, das System, das nach profitablen MEV-Möglichkeiten sucht, zu täuschen und den Bot zu zwingen, Genehmigungen zu erteilen, um Vermögenswerte an Drittanbieter-Verträge auszugeben.
"Dies ist kein klassischer Phishing-Angriff und keine traditionelle Schwachstelle des Smart Contracts des Opfers," betonte Blockaid.
Wie das Schema funktionierte
Laut den Forschern schuf der Angreifer Dutzende von gefälschten Tokens und Liquiditätspools, die beliebte Vermögenswerte wie WETH, USDC und USDT imitierten. Tokens wie fWETH, fUSDC und fUSDT wurden dafür verwendet, die wie potenziell profitable Arbitrage-Routen aussahen.
Der JaredFromSubway-Algorithmus identifizierte diese Operationen als profitabel und gewährte automatisch die Rechte der Angreiferverträge, Gelder auszugeben. Während der ersten Testtransaktionen wurden die Genehmigungen sofort verwendet, sodass keine verdächtigen Aktivitäten auftraten.
Später änderte der Angreifer die Mechanik. Der Bot gewährte weiterhin Genehmigungen, aber diesmal wurden sie weder verwendet noch widerrufen. Infolgedessen sammelte der Angreifer aktive Genehmigungen, um Gelder auszugeben.
Blockaid nannte ein Beispiel, in dem der Bot Ausgaben von mehr als 92 WETH an die Adresse des Hilfevertrags des Angreifers genehmigte. Diese Genehmigungen wurden anschließend für den endgültigen Abzug von Vermögenswerten über die transferFrom-Funktion verwendet.
Das Unternehmen stellte fest, dass Gelder in WETH, USDC und USDT an die Wallet des Angreifers überwiesen wurden, nachdem er die zuvor erhaltenen Genehmigungen verwendet hatte.
"Der Räuber wurde zur Beute"
Der Vorfall provozierte eine lebhafte Reaktion in der Krypto-Community aufgrund des Rufs von JaredFromSubway. Lange Zeit war der Bot einer der größten Ausführer sogenannter Sandwich-Angriffe im Ethereum-Netzwerk.
Kommentator Kyle Chassé erklärte:
"Seit 2023 hat Jaredfromsubway.eth Millionen von Händlern verdient. Es war der bekannteste Bot für 'Sandwich-Angriffe' auf Ethereum. Etwa 70 % aller 'Sandwich-Angriffe' im Netzwerk kamen aus dieser Wallet. An diesem Wochenende wurde eine Jagd auf den Bot selbst eröffnet.[…] Der Räuber wurde zur Beute."
Im Gegenzug bemerkte GlydeGG-Mitbegründer Jeremy Chung:
"Der bekannteste MEV-Bot von Ethereum, JaredFromSubway, hat gerade mehr als 15 Millionen Dollar verloren. Nach Jahren des Verdienens durch 'Sandwich-Angriffe' hat sich endlich jemand gerächt."
Ein Analyst unter dem Pseudonym zubic_eth fügte hinzu, dass der Bot effektiv "seinen eigenen Raub genehmigt hat", da seine automatisierte Logik genau so funktionierte, wie sie programmiert wurde.
Das MEV-Problem bleibt relevant
Die Geschichte von JaredFromSubway wurde zu einem weiteren Beispiel für die Risiken, die mit der MEV-Infrastruktur verbunden sind. Zuvor hatten Flashbots erklärt, dass MEV-Bots ein systemisches Problem für die Skalierung von Blockchains geworden sind, da sie mehr als die Hälfte des verfügbaren Gases in Netzwerken verbrauchen können.
Ein ähnlicher Vorfall ereignete sich auch 2025 mit Coinbase. Aufgrund fehlerhafter Einstellungen der Unternehmens-Wallet verlor die Börse etwa 300.000 Dollar, nachdem sie gefährliche Genehmigungen erteilt hatte, während sie mit einem Vertrag des 0x-Protokolls interagierte. Das Unternehmen widerrief dann die Genehmigungen und änderte die Konfiguration seiner Wallet.
JaredFromSubway selbst machte zuvor immer wieder Schlagzeilen wegen extrem hoher Gebührenausgaben. Im November 2024 zahlte der Bot mehr als 118.000 Dollar für eine einzige Transaktion auf Ethereum, und im Juni desselben Jahres gab er an einem einzigen Tag etwa 820.000 Dollar für Gas aus.
Quelle: Incrypted