Die Signatur, die später die Wallet leert: Wie Airdrop- und Approval-Betrug funktioniert

Was passiert eigentlich, wenn Sie irgendwo "signieren"?

Stellen Sie sich vor, auf Ihrer Adresse landet ein Token, den Sie nie angefordert haben. In der Wallet sehen Sie etwa "1 000 $REWARD" und dazu eine Website, die verspricht, dass Sie das mit ein paar Klicks abholen können. Sie öffnen die Website, verbinden Ihre Wallet und klicken auf den Button "Claim". Es erscheint ein Fenster mit der Bitte um eine Signatur. Und hier fällt die Entscheidung.

In der Kryptowelt gibt es zwei verschiedene Arten von "Signatur", die fast gleich aussehen, aber etwas anderes bedeuten:

Eine Transaktion ist eine einmalige Aktion. Sie senden etwas, Sie tauschen etwas, und fertig.
Eine Approval (Genehmigung) ist eine dauerhafte Erlaubnis. Sie sagen dem Smart Contract: "Ab jetzt darfst du aus meiner Wallet mit diesem Token hantieren."

Eine Approval an sich stiehlt nichts. Sie ist nur eine Erlaubnis. Das Geld verschwindet erst später, wenn der Angreifer diese Erlaubnis nutzt, ruhig lange nachdem Sie die betrügerische Website längst vergessen haben. Deshalb nennen wir das "die Signatur, die später die Wallet leert".

Wie sieht ein Approval-Scam konkret Schritt für Schritt aus?

Nehmen wir einen Modellablauf. Die Zahlen sind illustrativ, sie sollen die Mechanik zeigen, keinen realen Fall.

In Ihre Wallet kommt ein unbekannter Token, zum Beispiel "AirdropX". Er ist von selbst aufgetaucht, Sie haben nichts getan.
Der Token verweist im Namen oder in der "Beschreibung" auf eine Website. Die Website sieht aus wie die offizielle Seite des Projekts.
Sie klicken auf "Claim reward". Die Wallet zeigt eine Bitte um Signatur.
Sie signieren. Nur war das, was Sie signiert haben, keine Auszahlung der Belohnung. Es war ein approve oder setApprovalForAll, also eine unbegrenzte Erlaubnis für einen fremden Vertrag, mit Ihrem Stablecoin oder mit der gesamten NFT-Sammlung zu verfügen.
Sofort passiert nichts. Die Wallet sieht normal aus.
Drei Tage später ruft der Angreifer die Funktion transferFrom auf und sendet sich Ihr Guthaben weg. Sie sehen nur, dass die Token weg sind.

Die zweite Variante sind sogenannte Phishing-Signaturen vom Typ Permit. Dort signieren Sie keine Transaktion, sondern eine Nachricht (die Signatur ist kostenlos, Sie zahlen keine Gebühr dafür). Genau das ist tückisch: Weil Sie für die Signatur nichts zahlen, fehlt Ihnen jener Moment, in dem in der Wallet der Preis erscheint. Über die Gebühr und darüber, warum eine gewöhnliche Transaktion Geld kostet, schreiben wir in unserem Glossar beim Eintrag gas-fee.

Warum ist eine "Approval" gefährlicher als eine gewöhnliche Überweisung?

Weil eine gewöhnliche Überweisung abgeschlossen ist. Sie senden zehn Token, es gehen zehn Token weg, Ende. Bei einer Approval signieren Sie einen Umfang in die Zukunft.

Viele Genehmigungen werden zudem als unbegrenzt erteilt (in der Praxis handelt es sich um die technisch höchstmögliche Zahl). Das bedeutet, dass der Vertrag nicht nur auf das zugreifen darf, was Sie jetzt haben, sondern auch auf das, was Ihnen das nächste Mal zukommt. Wenn Sie sich in einem Monat auf dieselbe Adresse Ihr Gehalt im Stablecoin schicken, gilt die alte Erlaubnis weiterhin, und der Angreifer kann sich auch das abzapfen.

Wesentlich ist Folgendes: Das Vorhandensein einer Approval bedeutet noch keinen Diebstahl. Viele legitime Anwendungen (Börsen, Wechselstuben, Leihprotokolle) benötigen die Approval für den normalen Betrieb. Das Problem ist nicht die Approval als solche, das Problem ist eine Approval, die jemandem erteilt wurde, dem Sie keinen Grund zu vertrauen haben, oder eine Approval, die Sie längst nicht mehr brauchen und hängen gelassen haben.

Wie gehen Sie Ihre Genehmigungen durch und wie widerrufen Sie sie?

Eine Approval zu revoken (widerrufen) bedeutet, eine neue Transaktion zu senden, die diese alte Erlaubnis auf null senkt. Von diesem Moment an hat der betreffende Vertrag kein Recht mehr, mit Ihrem Token zu hantieren.

Das allgemeine Vorgehen sieht so aus:

Schritt	Was Sie tun	Worauf Sie achten sollten
1	Sie stellen fest, welche Genehmigungen Ihre Adresse hat	Verwenden Sie ein Werkzeug, das Daten direkt aus der Blockchain anhand Ihrer öffentlichen Adresse liest. Geben Sie niemals irgendwo Ihre Seed-Phrase oder Ihren privaten Schlüssel ein.
2	Sie gehen die Liste durch	Sie suchen vor allem nach unbegrenzten Genehmigungen und nach Genehmigungen für Verträge, die Sie nicht wiedererkennen.
3	Sie widerrufen die verdächtige Genehmigung	Der Widerruf ist eine eigenständige Transaktion, also zahlen Sie dafür eine Netzwerkgebühr.
4	Sie überprüfen das Ergebnis	Nach der Bestätigung sollte die Genehmigung auf null stehen.

Zwei Dinge, die man ehrlich laut aussprechen sollte:

Der Widerruf kostet eine Gebühr. Er ist nicht kostenlos, weil es eine reale Transaktion im Netzwerk ist. Wie viel genau, hängt vom aktuellen Zustand des Netzwerks ab, und das prognostizieren wir hier nicht.
Der Widerruf holt nicht zurück, was bereits gestohlen wurde. Der Widerruf der Erlaubnis ist Prävention und ein Stoppen des weiteren Abzapfens. Wenn der Angreifer das Guthaben bereits weggeschickt hat, bringt der Widerruf es nicht zurück.

Wie erkennen Sie eine verdächtige Signatur, bevor Sie sie bestätigen?

Es gibt kein hundertprozentiges visuelles Merkmal, aber ein paar Signale wiederholen sich:

Der Button verspricht "claim" oder "reward", aber die Wallet zeigt eine Bitte um approve, increaseAllowance oder setApprovalForAll. Das ist ein Widerspruch.
Die Signatur ist "kostenlos" und es handelt sich um eine Nachricht vom Typ Permit, wobei die Website Sie zur Eile drängt.
Der Token, der Sie zu der Aktion geführt hat, kam unaufgefordert.
Die Adresse, der die Genehmigung Rechte erteilt, ist nicht die Adresse der Anwendung, die Sie tatsächlich nutzen.

Moderne Wallets versuchen heute, bei riskanten Signaturen eine Warnung anzuzeigen und den technischen Inhalt in verständliche Sprache zu übersetzen. Nehmen Sie das als Hilfe, nicht als Garantie. Die Entscheidung zu signieren liegt immer noch bei Ihnen.

Was Sie jetzt können sollten und was ungewiss bleibt

Nach dieser Lektion sollten Sie den Unterschied zwischen einer einmaligen Transaktion und einer dauerhaften Approval erkennen, verstehen, warum eine Wallet auch mit Verzögerung geleert werden kann, und wissen, dass sich eine Approval durchgehen und mit einer eigenständigen Transaktion widerrufen lässt.

Was ungewiss bleibt und was Ihnen niemand ehrlich versprechen wird:

Wie viel der Widerruf kosten wird. Die Gebühr hängt vom Netzwerk zum jeweiligen Zeitpunkt ab, wir geben hier keinen festen Betrag an.
Ob ein konkreter Vertrag betrügerisch ist oder nicht. Das Werkzeug zeigt Ihnen, wem Sie was erlaubt haben, aber es liefert nicht automatisch das Etikett "Dieb" dazu. Die Beurteilung der Vertrauenswürdigkeit liegt immer bei Ihnen.
Ob der Widerruf rechtzeitig hilft. Wenn ein Angreifer die Erlaubnis missbraucht hat, bevor Sie sie widerrufen konnten, funktioniert die Prävention nicht mehr.

Dies ist eine Bildungslektion aus dem charliedesk Classroom. Wir sagen Ihnen nicht, was Sie kaufen oder verkaufen sollen. Wir zeigen, wie die Mechanik funktioniert, damit Sie mit offenen Augen entscheiden.