在去中心化金融（DeFi）生態系中，三明治攻擊（Sandwich Attack） 一直是矿工可提取最大價值（MEV）領域中最具爭議的技術手段。然而，2026 年 6 月發生的一起事件凸顯了「屠龍者終成惡龍」的諷刺現實：以太坊上最著名的三明治攻擊機器人操作者 Jaredfromsubway.eth 竟成為攻擊目標，其資金遭竊達 750 萬美元。此事件不僅震撼社群，更深刻揭示了智慧型合約授權機制的潛在風險。

事件概述與技術背景

根據區塊鏈安全公司 Blockaid 的調查報告，攻擊者透過精心設計的社會工程與技術手段，成功說服 Jaredfromsubway.eth 批准了一組偽造的交易路徑（fake trading routes）。這些看似合法的路徑批准（approval）隨後被攻擊者利用，逐步竊取了受害者的：

資產類型 代幣標準 備註
WETH ERC-20 包裝式以太幣
USDC ERC-20 Circle 發行的穩定幣
USDT ERC-20 Tether 發行的穩定幣

核心諷刺點：一個專門用於執行三明治攻擊、從其他交易者身上榨取價值的機器人，最終因為過度授權（over-approval）的習慣性風險而遭反噬。這正印證了加密領域的經典警告：「不信任任何人，包括你自己。」

技術機制與攻擊路徑分析

1. 三明治攻擊的基本原理

三明治攻擊是一種典型的 MEV 策略，其運作流程如下：

  • 監控階段：攻擊者監控 mempool（待處理交易池）
  • 前端攻擊（Front-run）：當偵測到目標的大額交易時，優先提交自己的買入交易
  • 目標交易執行：讓目標交易拉高價格
  • 後端攻擊（Back-run）：立即以高價賣出獲利

2. 本次攻擊的獨特手法

與傳統三明治攻擊不同，本次事件利用了 智慧型合約授權漏洞：

攻擊路徑簡圖：
1. 攻擊者建立偽造的交易路由合約
2. 誘使受害者調用 approve() 函數授予高額授權
3. 利用已獲授權，透過 transferFrom() 轉移資產
4. 將竊取資產洗白至去中心化交易所

3. 關鍵技術弱點：過度授權問題

此事件的核心技術問題在於 ERC-20 approve 機制的設計缺陷：

問題類型 說明 風險等級
無限授權 用戶常批准 uint256.max 額度 🔴 極高
授權難以撤回 需額外 Gas 費與意識 🟡 中高
重入攻擊風險 惡意合約可重入執行 🔴 極高

市場效應與生態衝擊

1. 對 MEV 社群的震盪

Jaredfromsubway 在 MEV 社群中是具有象徵意義的人物，其名稱源自網路迷因。此次事件引發了以下討論：

  • MEV 搜尋者的道德困境：是否「作孽會遭報應」？
  • 安全意識提升：促使更多人審視自己的授權設定
  • 工具開發轉向：推動更安全的路由協議發展

2. 對 DeFi 用戶的警示意義

此事件凸顯了幾個關鍵的安全最佳實踐：

  • ✅ 使用 allowance 限制 而非無限授權
  • ✅ 定期使用工具如 Revoke.cash 檢查並撤销不必要授權
  • ✅ 仔細審閱交易路徑與合約位址
  • ✅ 對異常高的滑點保持警惕

專業點評與未來展望

安全性評估

從技術角度來看，此事件並非協議層級的漏洞，而是用戶層級的操作風險。然而，它暴露了幾個系統性問題：

  1. ERC-20 approve 機制的設計缺陷仍未得到根本解決
  2. 用戶教育不足導致過度授權成為常態
  3. 交易路徑驗證工具仍不夠普及與直觀

潛在的解決方案方向

解決方案 現狀 挑戰
ERC-1155 / ERC-4626 等新型標準 開發中 生態系採用率
安全簽名驗證層 部分實現 用戶體驗折衷
瀏覽器插件警告 已有產品 偵測準確率
監管合規壓力 逐漸增加 去中心化價值衝突

長期影響預測

專家觀察：此事件可能會成為 DeFi 安全教育的重要案例研究，類似於 2016 年 The DAO 黑客攻擊對整個產業的催化作用。我們預期將看到更多「安全優先」的錢包與協議設計，以及對授權機制重構的推動力。

延伸思考與常見問題