Approval-Exploit

Ein Approval-Exploit ist ein Diebstahl, der Token-Freigaben (Approvals) ausnutzt, also die Berechtigungen, die Nutzer Smart Contracts erteilen, damit diese Token in ihrem Namen bewegen dürfen. Wenn Sie eine dezentrale Börse oder eine andere DeFi-App nutzen, genehmigen Sie in der Regel deren Contract, einen Token aus Ihrer Wallet auszugeben; ist diese Berechtigung zu weit gefasst oder wird der freigegebene Contract bösartig oder gehackt, können die Token ohne jede weitere Handlung von Ihnen entnommen werden.

Zwei Varianten dominieren. Bei der ersten fordert eine Betrugsseite Sie auf, etwas zu signieren, das wie eine routinemäßige Freigabe aussieht, aber den Contract des Angreifers als Spender nennt, oft für einen unbegrenzten Betrag; der Angreifer überträgt Ihre Token dann, wann immer er will, manchmal erst Wochen später. Bei der zweiten wird ein seriöses Protokoll, dem Sie vor langer Zeit eine Freigabe erteilt haben, über seinen Contract kompromittiert, und der Angreifer nutzt die bestehenden Freigaben aller Nutzer, um Gelder aus den Wallets abzuziehen, die mit ihm interagiert haben. Nutzer, die einem Bridge-Contract unbegrenzte Freigaben erteilt hatten, haben zum Beispiel Token verloren, als dieser Contract später ausgenutzt wurde – obwohl sie nie eine Betrugsseite besucht hatten.

Die praktische Abwehr besteht darin, Freigaben auf den benötigten Betrag zu begrenzen, alte Freigaben regelmäßig mit dafür gebauten Tools zu prüfen und zu widerrufen und getrennte Wallets für Experimente und für Ersparnisse zu verwenden. Ein verbreiteter Irrtum ist, dass es eine schlechte Freigabe behebe, die Seed-Phrase auf ein neues Gerät zu übertragen; Freigaben liegen On-Chain an Ihre Adresse gebunden, sodass nur eine On-Chain-Widerrufstransaktion oder das Verschieben der Gelder auf eine frische Adresse das Risiko beseitigt.