Hacker erbeutet 501.650 USDC – und verliert 75 % an MEV-Bot: Eine Lehrstunde aus dem DeFi-Dschungel

Stunden später versuchte der Angreifer, die gestohlenen Stablecoins über eine dezentrale Börse in ETH umzutauschen. Dabei unterlief ihm ein folgenschwerer Fehler: Er setzte keinen Slippage-Schutz. Ein automatisierter MEV-Bot entdeckte die Transaktion im öffentlichen Mempool und führte einen klassischen Sandwich-Angriff aus: Er kaufte ETH knapp vor der Transaktion des Angreifers, trieb so den Kurs in die Höhe, ließ den Angreifer zu diesem überhöhten Preis kaufen und verkaufte die ETH sofort wieder mit Gewinn .

Der Bot erbeutete auf diese Weise rund 371.000 US-Dollar der gestohlenen Gelder – und zahlte etwa 3,5 ETH an Gas-Gebühren, um sich die Transaktionsreihenfolge zu sichern. Dem Angreifer blieben nur etwa 67 WETH (~129.000 US-Dollar) – ein Nettoverlust von über 74 Prozent der ursprünglichen Beute .

Wie der MEV-Sandwich-Angriff funktioniert

Ein Sandwich-Angriff ist eine Form der MEV-Ausbeutung (Maximal Extractable Value), die auf der öffentlichen Transaktionsreihenfolge in der Blockchain basiert. So lief der Angriff ab :

1. Mempool-Überwachung: MEV-Bots scannen permanent den öffentlichen Mempool nach großen, anstehenden Swap-Transaktionen mit schwachem Slippage-Schutz.
2. Frontrunning: Der Bot erkennt den Swap des Angreifers (Kauf von ETH mit USDC) und platziert sofort eine eigene Kauforder für ETH – noch vor der Transaktion des Angreifers.
3. Das Opfer in der Mitte: Der Swap des Angreifers wird zum nun höheren Preis ausgeführt; er erhält weniger ETH für die gleiche Menge USDC.
4. Backrunning: Unmittelbar nach Abschluss der Angreifer-Transaktion verkauft der Bot seine ETH und profitiert von der Kursdifferenz.

In diesem Fall nutzte der Angreifer Uniswap V4, ohne einen Slippage-Limit zu setzen. Das gab dem Bot nahezu unbegrenzten Spielraum, um den Ausführungskurs innerhalb des Transaktionspakets zu manipulieren .

Was dieser Vorfall über DeFi-Sicherheit verrät

• MEV-Bots agieren als opportunistische Automaten. Sie unterscheiden nicht zwischen legitimen Händlern und Kriminellen. Jede Transaktion im öffentlichen Mempool mit schwachem Slippage-Schutz ist ein Ziel – unabhängig vom Absender .
• Slippage-Schutz ist keine Option, sondern Pflicht. Der Angreifer hatte keine enge Slippage-Toleranz eingestellt, sodass der Bot den Kurs über mehrere Blöcke hinweg manipulieren konnte. Eine kleine Begrenzung hätte den Verlust verhindert .
• DeFi-Transparenz hat zwei Seiten. Derselbe offene Mempool, der den Handel ohne Erlaubnis ermöglicht, macht große, schlecht konfigurierte Trades zu leichten Beute für Bots .
• Phishing bleibt der häufigste Einstiegsvektor. Der ursprüngliche Diebstahl gelang über eine kompromittierte Wallet, nicht durch einen Protokoll-Exploit. Die Sicherheit auf Nutzerseite – Genehmigungen, Signaturen und Wallet-Hygiene – bleibt das schwächste Glied .

Wichtige Lektionen für Nutzer

1. Immer eine enge Slippage-Toleranz setzen – in der Regel 0,5 % bis 1 % bei großen Swaps auf liquiden Paaren. Niemals „Auto“ oder unendlichen Slippage verwenden .
2. MEV-geschützte RPC-Endpunkte oder private Mempool-Dienste nutzen (z. B. Flashbots Protect, BloxRoute), um Transaktionen aus dem öffentlichen Mempool herauszuhalten .
3. Nicht mehr benötigte Token-Genehmigungen regelmäßig widerrufen. Das Opfer hatte hier eine Phishing-Signatur erteilt, die dem Angreifer den direkten Zugriff auf die USDC ermöglichte .
4. Große Swaps zuerst mit kleinen Beträgen testen – besonders nachdem man die Kontrolle über Gelder aus einer verdächtigen Quelle erlangt hat.
5. Verstehen, dass Blockchain-Transparenz nach hinten losgehen kann – selbst der Besitz privater Schlüssel garantiert keine sichere Ausführung, wenn die Transaktion öffentlich sichtbar und schlecht parametrisiert ist .

Der Vorfall ist eine drastische Erinnerung daran, dass in DeFi technische Sorgfalt auf jedem Schritt zählt – selbst Kriminelle können gegen besser automatisierte Gegner verlieren, wenn sie grundlegende Transaktionshygiene ignorieren.