Token-Freigaben und Wallet-Hygiene

Jedes Mal, wenn Sie einen Token in einer DeFi-App einsetzen – ob Sie auf einer DEX tauschen, in einen Lending-Pool einzahlen oder ein NFT listen –, signieren Sie zuerst eine „Freigabe“ (Approval), die den Smart Contract der App berechtigt, diesen Token aus Ihrer Wallet zu bewegen. Diese Berechtigungen laufen nicht ab, wenn Sie fertig sind. Sie sammeln sich über Jahre unbemerkt an, und jede einzelne ist eine dauerhaft offene Tür zu Ihrer Wallet, die aufgeht, sobald der freigegebene Contract böswillig wird oder ausgenutzt wird. Wallet-Hygiene bedeutet, Freigaben eng zu begrenzen, sie regelmäßig zu widerrufen und Wallets so zu trennen, dass kein einzelner Fehler alles erreichen kann, was Ihnen gehört.

Warum es Freigaben überhaupt gibt

Auf Chains im Ethereum-Stil sind Token Smart Contracts, die Kontostände verwalten. Eine DEX kann Ihnen beim Tausch nicht einfach Ihre USDC wegnehmen – die Token-Standards verlangen, dass Sie zuvor approve aufrufen und damit einen bestimmten Contract (den „Spender“) autorisieren, in Ihrem Namen bis zu einem bestimmten Betrag eines bestimmten Tokens zu übertragen. Der Contract der App nutzt diese Allowance dann, um beim Tausch die Token einzuziehen.

Das ist ein sinnvolles Design: Es erlaubt Contracts, miteinander zu arbeiten, ohne Ihr Guthaben zu verwahren. Das Problem liegt in zwei Voreinstellungen, die sich aus Bequemlichkeit durchgesetzt haben:

• Unbegrenzte Beträge. Viele Apps verlangen eine faktisch unendliche Allowance, damit Sie diesen Token nie wieder freigeben müssen. Eine Signatur, und der Contract kann jeden Betrag dieses Tokens aus Ihrer Wallet bewegen, für immer, ohne weitere Erlaubnis.
• Kein Ablaufdatum. Eine Freigabe bleibt bestehen, bis Sie sie ausdrücklich widerrufen oder sie vollständig aufgebraucht ist. Die DEX, die Sie 2023 einmal ausprobiert haben, hält womöglich heute noch eine unbegrenzte Allowance für Ihre USDT.

Bei NFTs ist das Gegenstück – setApprovalForAll – noch weitreichender: Es gibt einem Contract mit einer einzigen Signatur die Kontrolle über jedes NFT einer Kollektion, ob bereits vorhanden oder künftig erworben.

Warum alte Freigaben ein Dauerrisiko sind

Eine Freigabe ist eine aktive Befugnis, kein historischer Eintrag. Ob sie gefährlich ist, hängt allein vom Contract ab, der sie hält – und der kann sich nach Ihrer Signatur verändern.

• Exploits bei Protokollen. Wird ein Contract gehackt, den Sie freigegeben haben, können Angreifer mit dessen Berechtigungen oft Token direkt aus jeder Wallet ziehen, die je eine Allowance erteilt hat – nicht nur aus dem im Protokoll eingezahlten Guthaben. Mehrere Vorfälle mit Schäden in Millionenhöhe liefen genau so ab: Nutzer, die Monate zuvor lediglich mit einem Protokoll interagiert hatten, verloren Token, die „sicher“ in ihrer eigenen Wallet lagen.
• Böswillige Freigaben, die Sie selbst erteilt haben. Drainer-Seiten tarnen Freigabeanfragen als Claims, Mints oder Verifizierungen. Der Diebstahl muss nicht zum Zeitpunkt der Signatur stattfinden – der Angreifer kann warten und die Wallet dann leeren, wann immer es sich lohnt.
• Upgradefähige und verwaiste Contracts. Manche Contracts können von ihren Admins aktualisiert werden; eine Freigabe für den heute ehrlichen Code kann zur Freigabe für den bösartigen Code von morgen werden – sei es durch einen Rug Pull oder einen kompromittierten Admin-Key. Verwaiste Projekte werden nicht mehr gepatcht, wodurch alte Exploits dauerhaft bestehen bleiben.

Der verschärfende Faktor ist die Unsichtbarkeit. Ihre Wallet-Oberfläche zeigt Kontostände, keine Allowances. Eine Wallet kann 50.000 USDC anzeigen, während fünf vergessene Contracts jeweils das Recht haben, sie zu entnehmen. Die meisten Menschen wissen nicht, was sie freigegeben haben – genau deshalb ist die regelmäßige Kontrolle wichtig.

Freigaben prüfen und widerrufen

Jede Freigabe und jeder Widerruf steht on-chain, daher lässt sich das an einem Nachmittag in Ordnung bringen.

Freigaben finden. Tools zur Verwaltung von Freigaben – Revoke.cash ist das bekannteste unabhängige, und Etherscan sowie mehrere Wallets haben eingebaute Approval-Checker – lesen die Chain aus und listen jede aktive Allowance für Ihre Adresse auf: welcher Token, welcher Spender-Contract, welcher Betrag und wann erteilt. Rechnen Sie mit einer langen Liste, wenn Sie DeFi schon länger nutzen; Dutzende aktiver Freigaben sind bei einer aktiven Adresse normal.

Prioritäten setzen. Sie müssen nicht alles widerrufen. Sortieren Sie nach Risiko:

1. Unbegrenzte Freigaben für alles, was Sie nicht aktiv nutzen – zuerst widerrufen.
2. Freigaben für unbekannte oder nicht überprüfbare Contracts – wenn Sie sich nicht erinnern, sie erteilt zu haben, oder das Projekt nicht identifizieren können, widerrufen.
3. setApprovalForAll bei NFT-Kollektionen für Marktplätze, die Sie nicht mehr nutzen.
4. Freigaben mit hohen Beträgen für Stablecoins und Blue-Chip-Token, da Drainer diese am leichtesten zu Geld machen.

Eine aktive Allowance für ein Protokoll, das Sie wöchentlich nutzen, ist ein vertretbarer Komfort-Kompromiss; dieselbe Allowance für etwas, das Sie einmal angefasst haben, bringt nur Nachteile.

Funktionsweise und Kosten. Widerrufen heißt, eine Transaktion zu senden, die die Allowance auf null setzt – jeder Widerruf kostet daher Gas-Gebühren: im Ethereum-Mainnet je nach Auslastung typischerweise von deutlich unter einem US-Dollar bis zu einigen US-Dollar, bei den meisten Layer 2 Bruchteile eines Cents. Beachten Sie, dass jedes Paar aus Token und Spender ein eigener Widerruf ist. Hält eine Wallet viele riskante Freigaben, aber wenig Wert, kann es günstiger sein, die Vermögenswerte in eine neue Wallet umzuziehen, als alles zu widerrufen.

Künftig. Verlangt eine App eine Freigabe, wählen Sie lieber einen individuellen Betrag, der dem entspricht, was Sie tatsächlich transferieren, statt der unbegrenzten Voreinstellung – die meisten Wallets lassen Sie die angeforderte Allowance vor dem Signieren bearbeiten. Beim nächsten Mal zahlen Sie für eine zusätzliche Freigabe; das ist der Preis für einen kleineren Schadensradius. Neuere Token-Mechanismen (etwa Signaturen im Stil von Permit2 mit Ablaufdatum) entschärfen das Problem, aber die Gewohnheit, zu prüfen und zu widerrufen, bleibt für alles andere nötig.

Wallet-Segmentierung: Nicht alles hinter einer Tür aufbewahren

Freigabe-Hygiene senkt das Risiko pro Wallet. Segmentierung begrenzt den Schaden, wenn die Hygiene versagt. Die gängige Struktur hat drei Ebenen:

• Vault (Cold). Eine Hardware-Wallet-Adresse, die langfristige Bestände hält und fast nichts tut: empfangen, halten, gelegentlich an die eigene Hot Wallet senden. Sie signiert niemals dApp-Freigaben. Weil sie nie mit Contracts interagiert, entfällt die gesamte Angriffsfläche durch Freigaben schlicht.
• Hot Wallet für den Alltag. Eine Software- oder hardwaregestützte Wallet mit einem Arbeitsguthaben – vergleichbar mit dem Bargeld in der Tasche gegenüber dem Sparkonto. Sie interagiert mit etablierten Protokollen, die Sie regelmäßig nutzen, und ihre Freigaben werden nach einem festen Plan überprüft.
• Burner-Wallet. Eine Wallet für das riskante Neuland: neue Mints, ungeprüfte Protokolle, Airdrop-Claims, alles, wozu Ihnen jemand einen Link geschickt hat. Statten Sie sie nur mit dem aus, was die jeweilige Interaktion erfordert – kostet ein Mint 0,05 ETH, senden Sie 0,06. Signiert eine Burner-Wallet etwas Böswilliges, verlieren Sie deren Inhalt, nicht Ihre Bestände.

Die Disziplin, die das funktionieren lässt: Wert fließt nur bergab. Der Vault versorgt die Hot Wallet, die Hot Wallet versorgt die Burner-Wallets, und nichts Riskantes wird je von den darüberliegenden Ebenen signiert. Beachten Sie, dass Segmentierung getrennte Seed-Phrases bedeutet (oder zumindest bewusst getrennte Konten) – zehn aus einer Seed-Phrase abgeleitete Adressen sind in dem Moment eine einzige Wallet, in dem diese Seed-Phrase in falsche Hände gerät.

Eine Wartungsroutine, die hält

Hygiene scheitert, wenn sie vom Erinnern abhängt. Koppeln Sie sie stattdessen an feste Auslöser:

• Vierteljährlich: Lassen Sie Ihre Adressen durch einen Approval-Checker laufen und räumen Sie die Liste riskanter Freigaben auf. Legen Sie das in dieselbe Kalendererinnerung wie andere Finanzaufgaben.
• Nach jedem Vorfall oder Schreck: etwas Merkwürdiges signiert, eine Seite besucht, die sich falsch anfühlte, eine Drainer-Warnung gesehen – prüfen Sie diese Wallet noch am selben Tag.
• Nach Abschluss mit einem Protokoll: letzte Position auf einer Plattform geschlossen? Widerrufen Sie deren Freigaben, solange Sie daran denken.
• Bevor Sie hohe Werte in eine Wallet verschieben: erst prüfen, dann aufladen.

Fünfzehn Minuten pro Quartal sind der gesamte Aufwand. Verglichen mit der Alternative – zu entdecken, dass ein Protokoll, das Sie vor zwei Jahren genutzt haben, letzte Nacht ausgenutzt wurde – ist das eine der günstigsten Versicherungen im Kryptobereich.