Eine Wallet zeigt beim Besuch einer Tauschplattform eine Anfrage zur Token-Freigabe. Viele Nutzer bestätigen sie reflexartig, weil sie eigentlich nur einen Handel ausführen wollen. Die Freigabe ist jedoch eine eigene Berechtigung. Sie kann einem Smart Contract erlauben, Token später aus der Wallet zu bewegen. Wer das übersieht, unterschätzt ein Risiko, das auch nach dem Schließen der Website bestehen kann.
Verbindung und Erlaubnis sind zwei Dinge
Wenn eine Website die Wallet „verbindet“, erhält sie zunächst meist nur die Möglichkeit, eine Adresse zu sehen und Anfragen anzuzeigen. Eine Token-Freigabe, auch Approval genannt, ist dagegen eine Transaktion auf der Blockchain. Sie legt fest, welcher Smart Contract wie viele Einheiten eines bestimmten Tokens ausgeben darf. Erst danach kann etwa ein dezentraler Tauschdienst den vereinbarten Tausch technisch ausführen.
Manche Dienste bitten um die Freigabe eines konkreten Betrags. Andere schlagen eine sehr hohe oder praktisch unbegrenzte Menge vor, damit künftige Transaktionen ohne neue Freigabe möglich sind. Das spart Zeit und Gebühren, erweitert aber die Berechtigung. Wird der freigegebene Smart Contract später missbraucht oder war die Website bereits betrügerisch, kann dieser Spielraum teuer werden.
Warum das Trennen der Wallet nicht reicht
Die Berechtigung steht im Token-Smart-Contract auf der Blockchain. Das bloße Abmelden oder Trennen der Wallet von einer Website löscht sie normalerweise nicht. Auch das Schließen eines Browser-Tabs ändert nichts daran. Wer eine alte Erlaubnis entfernen will, muss sie mit einer neuen Blockchain-Transaktion widerrufen oder auf einen kleineren Betrag setzen. Dafür fällt in der Regel eine Netzwerkgebühr an.
Ein Widerruf ist besonders sinnvoll, wenn eine genutzte Plattform kompromittiert wurde, eine Freigabe unbekannt ist oder der Dienst nicht mehr gebraucht wird. Allerdings kann ein Widerruf bereits gestohlene Token nicht zurückholen. Bei einem Verdacht auf kompromittierte Schlüssel oder Seed Phrase reicht er ebenfalls nicht aus. Dann muss der verbleibende Bestand gegebenenfalls in eine neue, sichere Wallet übertragen werden.
So prüft man eine Anfrage vor dem Klick
Anfänger sollten zuerst die genaue Internetadresse und den Namen des angefragten Vertrags prüfen. Phishing-Seiten imitieren bekannte Dienste oft täuschend echt. Danach zählt die angezeigte Tokenmenge. Für einen einmaligen Tausch ist eine begrenzte Freigabe oft leichter zu kontrollieren als eine unbeschränkte. Manche Wallets ermöglichen die Anpassung vor dem Bestätigen. Unverständliche Anfragen sind ein guter Grund, den Vorgang abzubrechen.
Wichtig ist auch die Unterscheidung zwischen einer Signatur und einer echten Transaktion. Beide können in der Wallet als Bestätigungsfenster erscheinen, haben aber unterschiedliche Wirkungen. Eine Signatur kann unter Umständen ebenfalls weitreichende Folgen haben, etwa wenn sie einen Handel oder eine Berechtigung autorisiert. Die Beschriftung der Wallet allein ersetzt daher nicht das Verständnis der angefragten Aktion.
Zur Kontrolle bestehender Freigaben bieten Block-Explorer und spezialisierte Prüfdienste Übersichten für einzelne Adressen. Dabei sollte man die Adresse solcher Dienste selbst eintippen oder über verlässliche Quellen aufrufen. Betrügerische „Revoke“-Seiten sind ein eigenes Einfallstor. Für das Prüfen ist normalerweise keine Seed Phrase erforderlich. Wer danach gefragt wird, sollte die Seite sofort verlassen.
Eine gute Gewohnheit ist, DeFi-Freigaben regelmäßig zu überprüfen und für Experimente nicht die Wallet mit den langfristigen Ersparnissen zu verwenden. Das senkt nicht jedes Smart-Contract-Risiko, begrenzt aber mögliche Schäden. Der wichtigste Satz für Anfänger lautet deshalb, dass ein Approval kein harmloser Login ist, sondern eine fortwirkende Erlaubnis über Vermögenswerte.
Quellen
Disclaimer
Keine Anlageberatung: Dieser Beitrag dient ausschließlich der Information und ersetzt keine individuelle Finanzberatung. Kryptowährungen und damit verbundene Produkte können erhebliche Verluste verursachen.
Schreibe einen Kommentar
Du musst angemeldet sein, um einen Kommentar abzugeben.