Auf dem Layer-2-Netzwerk Arbitrum hat sich ein neuer Sicherheitsvorfall ereignet: Die dezentrale Trading-Plattform Futureswap wurde offenbar Ziel eines Angriffs, bei dem laut Einschätzung von Blockchain-Sicherheitsforschern Gelder in Höhe von rund 395.000 US-Dollar entwendet wurden. Der Vorfall reiht sich in eine Serie jüngster Hacks ein, die sich gegen Projekte auf Arbitrum richten.
Laut Angaben der Sicherheitsfirma BlockSec wurde die verdächtige Aktivität von ihrer Bedrohungserkennungsplattform Phalcon dokumentiert. Mehrere Transaktionen, die gezielt auf einen Smart Contract von Futureswap abzielten, legten den Verdacht nahe, dass es sich um einen gezielten Exploit handeln könnte.
Schwachpunkt in nicht quelloffenem Smart Contract vermutet
In einem Beitrag auf der Plattform X (vormals Twitter) informierte BlockSec über die entdeckten Unregelmäßigkeiten. In dem Beitrag heißt es, man habe versucht, das Entwicklerteam von Futureswap zu benachrichtigen, jedoch bislang keine Rückmeldung erhalten. Auffällig ist in diesem Zusammenhang, dass der letzte öffentliche Beitrag des offiziellen Futureswap-Kanals aus dem Jahr 2022 stammt.
Den bisherigen Erkenntnissen zufolge nutzte der Angreifer offenbar wiederholt sogenannte „changePosition“-Operationen aus, um über einen längeren Zeitraum USDC Token aus dem Protokoll abzuziehen. Da der zugrundeliegende Smart Contract nicht offen einsehbar ist, lässt sich die konkrete Schwachstelle derzeit nur erahnen. BlockSec äußerte den Verdacht, dass unerwartete Änderungen bei der Berechnung des „stableBalance“ während früherer Positionsänderungen letztlich dazu geführt haben könnten, dass der Angreifer unberechtigt USDC freisetzen konnte.
Phalcon schrieb: „Da der Vertrag nicht quelloffen ist, bedarf es weiterer Analyse, um die exakte Ursache des Vorfalls zu klären.“
Arbitrum verzeichnet auffällige Häufung an Angriffen
Der Angriff auf Futureswap markiert eines von mehreren sicherheitsrelevanten Ereignissen, die das Arbitrum-Ökosystem zu Beginn des Jahres 2026 erschüttert haben. Bereits am 5. Januar waren zwei weitere Projekte betroffen: USD Gambit und TLP, die beide vom selben Entwicklerteam stammen, wurden nach einem mutmaßlichen Verlust der Admin-Rechte kompromittiert. Ein Angreifer hatte neue Smart Contracts mit bösartigem Code implementiert und dadurch Zugriff auf Mittel in Höhe von insgesamt 1,5 Millionen US-Dollar erlangt.
Eine erste Analyse der Blockchain-Forensikfirma Cyvers Alert legt nahe, dass hier ein einzelner Entwickler möglicherweise die Kontrolle über sein administratives Zugangskonto verloren hatte. Im Anschluss habe der Angreifer die ProxyAdmin-Berechtigungen auf eigene Verträge umgestellt, um die Kontrolle über die Projekte zu übernehmen. Die dabei entwendeten Vermögenswerte wurden später über eine Bridge ins Ethereum-Netzwerk verschoben und in den Mixer Tornado Cash eingespeist.
Weitere Arbitrum-Projekte, darunter IPOR Fusion und TMX Tribe, waren ebenfalls bereits in diesem Jahr betroffen. Im Fall von IPOR Fusion belief sich der Schaden auf rund 336.000 US-Dollar infolge einer veralteten Smart-Contract-Schwachstelle. Die betroffene DAO kündigte in diesem Fall eine vollständige Rückerstattung der Verluste an.
Mixer wie Tornado Cash erneut im Zentrum der Geldwäscheaktivitäten
Sicherheitsforscher beobachten eine zunehmende Geschwindigkeit und Professionalität bei der Abwicklung der Beute durch die Angreifer. Die gestohlenen Krypto-Assets werden laut ihrer Einschätzung häufig unmittelbar nach dem Exploit in Token getauscht und über Anonymisierungsdienste wie Tornado Cash oder Railgun weitergeleitet, um weder Rückverfolgung noch Adressblockierungen durch Abwehrmechanismen zu ermöglichen.
Tornado Cash verzeichnete insbesondere im vierten Quartal 2025 eine Zunahme der eingehenden Mittel – sowohl aus aktuellen als auch aus älteren Exploits. Aktuell liegt der Total Value Locked im Mixer laut Angaben bei über 338.000 ETH und damit über dem bisherigen Höchststand im Jahr 2021.
Ziel der Angriffe sind dabei vor allem weniger bekannte Protokolle mit vergleichsweise geringem Sicherheitsniveau oder ungewarteten Altverträgen. Die Plattform USD Gambit etwa konnte sich trotz ihres Launches im Jahr 2023 nicht erfolgreich am Markt etablieren und geriet somit auch nicht in den Fokus von Sicherheitsprüfungen.
Viele Angriffe, wenige Audits trotz Förderinitiativen
Mit einem Gesamtwert von über 3 Milliarden US-Dollar, der laut DefiLlama in Arbitrum-basierten DeFi-Protokollen gebunden ist, bleibt das Netzwerk ein reizvolles Ziel für Angreifer. Trotz verstärkter Bemühungen seitens der Arbitrum Foundation – darunter ein 14-Millionen-Dollar-Fördertopf zur Finanzierung von Smart-Contract-Audits – zeigt sich zum Jahresbeginn 2026 eine besorgniserregende Häufung von Sicherheitsvorfällen.
Ob ein Zusammenhang zwischen den verschiedenen Arbitrum-Angriffen besteht oder ob unterschiedliche Akteure unabhängig voneinander Schwachstellen ausnutzen, bleibt bislang offen. Wiederkehrende Merkmale im Ablauf und die Wahl der Angriffsziele legen allerdings für einige Beobachter einen koordinierten Hintergrund nahe.
Die Analyse von BlockSec zur Futureswap-Sicherheitspanne läuft derzeit weiter. Sobald neue Erkenntnisse vorliegen, dürfte sich auch klären, ob Nutzer unter den Auswirkungen des Angriffs leiden oder ob ein externer Angreifer ausschließlich Protokollreserven kompromittieren konnte.
Zuletzt aktualisiert am 11. Januar 2026
Bitcoin Hyper: Innovative Layer-2-Lösung für Bitcoin
- Extrem niedrige Gebühren – ideal für Mikrozahlungen
- Blitzschnelle Bitcoin-Transaktionen dank Layer-2-Technologie
- Bitcoin meets DeFi: Staking, DEX, Smart Contracts
Fragen und Antworten
Sie haben eine Frage? Unser Experten-Panel beantwortet gerne Ihre Fragen.