Ein Nutzer hat seine Wallet mit einer Website verbunden, auf Approve geklickt oder eine unverständliche Nachricht signiert – und erst danach Phishing vermutet. In einer solchen Situation ist schnelles, aber nicht chaotisches Handeln wichtig. Eine Signatur, eine Berechtigung zum Ausgeben von Token und die Weitergabe einer Seed-Phrase schaffen unterschiedliche Risiken; der allgemeine Rat „trennen Sie einfach die Website“ kann daher unzureichend sein.
Das Trennen einer dApp von der Wallet widerruft keine On-Chain-Berechtigungen. Hat ein Smart Contract das Recht erhalten, Token auszugeben, kann diese Berechtigung nach dem Schließen des Tabs, Entfernen der Website aus der Verbindungsliste und sogar nach einem Neustart der Wallet aktiv bleiben. Zunächst muss geklärt werden, was genau signiert wurde; anschließend ist die passende Reaktion zu wählen.
Was Sie möglicherweise signiert haben und wie sich die Risiken unterscheiden
Mit dem Wort „Signatur“ werden häufig mehrere technisch unterschiedliche Handlungen bezeichnet. Öffnen Sie vor weiteren Aktionen den Aktivitätsverlauf der Wallet und die Transaktion im entsprechenden Blockchain-Explorer. Achten Sie auf Netzwerk, Smart-Contract-Adresse, Funktion, Token, Betrag und die Adresse, der Verwaltungsrechte eingeräumt wurden.
- Verbindung der Wallet mit einer Website. In der Regel sieht die Website die öffentliche Adresse und kann Signaturanfragen anzeigen. Allein die Verbindung sollte kein Recht zum Abbuchen von Vermögenswerten verleihen; eine betrügerische Website kann jedoch unmittelbar danach eine gefährliche Anfrage präsentieren.
- Signieren einer Nachricht. Dies erzeugt nicht immer eine gewöhnliche Transaktion und kann ohne Gas erfolgen. Bestimmte strukturierte Signaturen werden jedoch als Berechtigung für spätere Operationen verwendet; die Annahme „keine Gebühr – also sicher“ ist daher falsch.
- Approve für einen fungiblen Token. Der Inhaber erlaubt einer bestimmten Operator-Adresse (Spender), Token bis zu einem festgelegten Limit auszugeben. Ist das Limit unbegrenzt, betrifft das Risiko nicht nur eine einzelne geplante Operation.
- Berechtigung für NFT. Funktionen wie setApprovalForAll können einem Operator das Recht geben, sämtliche Vermögenswerte einer bestimmten NFT-Kollektion in der Wallet zu verwalten.
- Gewöhnliche On-Chain-Transaktion. Dabei kann es sich um eine direkte Übertragung, einen Swap oder einen Smart-Contract-Aufruf handeln. Ist die Transaktion bereits vom Netzwerk bestätigt, kann sie in der Regel nicht nachträglich einfach „storniert“ werden.
- Kompromittierung der Seed-Phrase oder des privaten Schlüssels. Das ist das schwerwiegendste Szenario: Eine fremde Person kann die Wallet vollständig kontrollieren. Der Widerruf eines einzelnen Approve beseitigt dieses Risiko nicht.
Nicht jedes Approve ist betrügerisch: Dezentrale Börsen und andere Protokolle benötigen Berechtigungen, um mit Token arbeiten zu können. Gefahr entsteht, wenn der Nutzer die Website oder den Contract nicht kennt, den Umfang der Berechtigung nicht versteht oder die Anfrage nach dem Aufruf einer Werbeanzeige, privaten Nachricht oder gefälschten Supportseite signiert hat. Eine grundlegende Erklärung zu Token Approvals finden Sie in der MetaMask-Hilfe; zusätzlich ist der Beitrag über Signature Phishing relevant.
Beratung erhalten
Kurze Einschätzung — unverbindlich
Aktive Berechtigungen prüfen und korrekt widerrufen
Die Prüfung wird für jede Adresse und jedes Netzwerk separat durchgeführt. Eine Berechtigung auf Ethereum zeigt nicht automatisch die Berechtigungen derselben Adresse in anderen EVM-Netzwerken. Ebenso müssen fungible Token und NFT-Operatoren getrennt geprüft werden.
- Dokumentieren Sie die verdächtige Aktion. Sichern Sie URL der Website, Uhrzeit, Wallet-Adresse, Netzwerk, Transaktionshash, Screenshot der Anfrage und sämtliche Nachrichten. Signieren Sie keine neuen Anfragen, die von der Website als „Stornierung“ oder „Verifizierung“ bezeichnet werden.
- Prüfen Sie den Verlauf im offiziellen Explorer des Netzwerks. Ermitteln Sie Contract-Adresse und aufgerufene Funktion. Bei Approve bestimmen Sie Token, Spender-Adresse und Höhe der Allowance.
- Öffnen Sie einen geprüften Dienst zur Verwaltung von Berechtigungen. Verwenden Sie das integrierte Werkzeug des Wallet-Herstellers oder einen offiziell empfohlenen Approval Checker. Geben Sie die Adresse des Dienstes selbst ein oder öffnen Sie ihn über die offizielle Dokumentation und nicht über eine Werbeanzeige. MetaMask-Anleitung: How to revoke smart contract allowances.
- Wechseln Sie das Netzwerk und prüfen Sie die Berechtigungen. Achten Sie auf unbekannte Contracts, unbegrenzte Limits, alte dApps und Berechtigungen, die kurz vor dem Vorfall erteilt wurden. Ein derzeit geringer Token-Bestand macht eine unbegrenzte Berechtigung nicht zwangsläufig für die Zukunft sicher.
- Widerrufen Sie eine verdächtige Berechtigung. Ein Revocation ist in der Regel eine separate On-Chain-Transaktion, die die Allowance auf null setzt oder das Recht des Operators aufhebt. Dafür wird eine kleine Menge der nativen Netzwerk-Coin zur Zahlung von Gas benötigt.
- Prüfen Sie das Ergebnis. Aktualisieren Sie nach Bestätigung der Transaktion die Allowance-Liste und stellen Sie sicher, dass die Berechtigung nicht mehr aktiv ist. Wiederholen Sie die Prüfung in anderen Netzwerken, die mit dieser Wallet genutzt wurden.
Das bloße Trennen einer Website in den Wallet-Einstellungen beendet nur die aktuelle Interaktion der Oberfläche mit der Adresse. Es verändert keine Daten bereits erteilter Berechtigungen in der Blockchain. Gleichzeitig kann das Widerrufen eines Approve Token nicht zurückbringen, die vor dem Widerruf bereits abgebucht wurden.
Seien Sie vorsichtig mit gefälschten „Revoke-Diensten“. Eine Seite zur Prüfung von Berechtigungen darf weder Seed-Phrase noch privaten Schlüssel verlangen. Vergleichen Sie vor Bestätigung eines Revocation Netzwerk, Contract und Inhalt der Transaktion in der Wallet; prüfen Sie die Angaben nach Möglichkeit auch auf dem Display einer Hardware-Wallet. Hilfreiche Kriterien zur Bewertung eines Contracts enthält der MetaMask-Beitrag How to tell if a smart contract is safe.
Was nach einer verdächtigen Signatur oder dem Abfluss von Vermögenswerten zu tun ist
Sind die Mittel noch vorhanden, beenden Sie die Interaktion mit der verdächtigen Website und prüfen sowie widerrufen Sie die relevanten Berechtigungen. Kontrollieren Sie anschließend alle Netzwerke, Token und NFT, die mit dieser Adresse genutzt wurden. Ändern Sie Passwörter verbundener Dienste, aktivieren Sie soweit möglich Zwei-Faktor-Authentifizierung und prüfen Sie das Gerät auf Schadsoftware.
Wenn die Seed-Phrase oder der private Schlüssel auf einer fremden Website eingegeben wurde, ist die Wallet als vollständig kompromittiert zu betrachten. Erstellen Sie auf einem sauberen Gerät eine neue Wallet und übertragen Sie die Vermögenswerte dorthin, sofern dies noch sicher möglich ist. Verwenden Sie die alte Seed-Phrase nicht für die neue Wallet. Wenn ein Angreifer die native Coin für Gas bereits automatisiert abzieht, zahlen Sie nicht auf gut Glück weitere Mittel auf die Adresse ein: Das kann die Verluste nur erhöhen und erfordert eine gesonderte technische Bewertung.
Wurden Token bereits abgebucht, dokumentieren Sie die Hashes aller Transaktionen, Adressen, Netzwerke, Zeiten, Beträge und den Zusammenhang des Vorfalls mit der Phishing-Website. Senden Sie Betrügern keine zusätzlichen Zahlungen für eine „Entsperrung“ oder „Rückholung“. Öffentliche Blockchain-Daten ermöglichen die weitere Nachverfolgung der Mittel; Interaktionen der Adresse mit zentralisierten Diensten können für Meldungen an Plattformen und Strafverfolgungsbehörden wichtig werden. Siehe wie gestohlene Kryptowährung zurückgeholt werden kann.
War ein Konto auf einer Kryptobörse am Vorfall beteiligt oder hat die Plattform nach der verdächtigen Operation die Auszahlung eingeschränkt, siehe auch was zu tun ist, wenn ein Börsenkonto oder Auszahlungen gesperrt wurden. Eine Meldung allein garantiert keine Rückgabe der Vermögenswerte: Das Ergebnis hängt vom Weg der Mittel, der Reaktionsgeschwindigkeit, den Regeln der Plattform und der Jurisdiktion ab.
Unverständliches Approve signiert und unsicher, ob die Vermögenswerte geschützt sind?
ProDefence hilft, den Signaturtyp zu bestimmen, aktive Berechtigungen in den erforderlichen Netzwerken zu prüfen, verdächtige Contracts zu untersuchen und die Bewegung bereits abgebuchter Vermögenswerte zu dokumentieren. Wir erstellen ein technisches Bild des Vorfalls und einen praktischen Plan für weitere Schritte – ohne Zugriff auf Ihre Seed-Phrase oder Ihren privaten Schlüssel.
Verschieben Sie die erste Prüfung nicht: Je früher festgestellt wird, welche konkrete Berechtigung ein fremder Contract erhalten hat, desto schneller lässt sich das weitere Risiko begrenzen. Wenden Sie sich über das offizielle Formular der Website an ProDefence – ein Spezialist bewertet die Situation und erläutert realistische Reaktionsmöglichkeiten.
Berechtigungen prüfen
Verdächtiges Approve oder eine Nachricht signiert?
Beschreiben Sie Netzwerk, Hash und Website. ProDefence hilft, Signaturtyp und aktive Allowances zu bewerten – ohne Anforderung der Seed-Phrase.
Keine Garantie einer „sofortigen Entsperrung“ von Vermögenswerten.
