Wie bösartige Token-Freigaben genutzt werden, um ein Wallet zu leeren

Fast jede Interaktion mit einer dezentralen Anwendung, vom Handel auf einer dezentralen Börse bis zum Staking eines Tokens, erfordert, dieser Anwendung die Berechtigung zu erteilen, ein bestimmtes Token im Namen des Wallet-Inhabers zu bewegen. Diese Berechtigung wird Token-Freigabe genannt und ist ein legitimer und notwendiger Bestandteil der Funktionsweise der meisten Blockchain-Anwendungen. Das Problem ist nicht, dass Freigaben existieren. Das Problem ist, dass die meisten Wallet-Oberflächen sie knapp und technisch darstellen und die meisten Nutzer sie schnell bestätigen, ohne genau zu verstehen, was sie damit autorisieren.

Laut dem 2026 Crypto Crime Report von Chainalysis erbeuteten On-Chain-Betrügereien im Jahr 2025 mindestens vierzehn Milliarden Dollar, gegenüber zwölf Milliarden im Vorjahr, und freigabenbasiertes Phishing hat beständig zu dieser Zahl beigetragen, wobei seit 2021 mehr als eine Milliarde Dollar an kumulierten gemeldeten Verlusten speziell dieser Technik zugeschrieben werden.

Was eine Token-Freigabe tatsächlich gewährt

Wenn eine Anwendung eine Freigabe anfordert, bittet sie das Wallet, einen Smart Contract zu autorisieren, im Namen des Eigentümers bis zu einem festgelegten Betrag eines Tokens zu übertragen, und zwar zu einem vom Vertrag gewählten Zeitpunkt. Viele Anwendungen fordern standardmäßig eine unbegrenzte Freigabe an, da dies für die App bequemer ist und vermeidet, den Nutzer bei jeder zukünftigen Transaktion erneut um Zustimmung zu bitten. Genau diese Bequemlichkeit macht die Berechtigung gefährlich, wenn der empfangende Vertrag bösartig ist oder später kompromittiert wird, denn die Freigabe selbst läuft nicht ab und erfordert keine weitere Bestätigung, um ausgeübt zu werden.

ERC-20-Freigaben, Permit und Permit2 erklärt

Die Standard-approve-Funktion

Der ursprüngliche ERC-20-Token-Standard enthält eine Funktion namens approve, die ein Wallet-Inhaber aufruft, um eine bestimmte Vertragsadresse zu autorisieren, bis zu einem festgelegten Betrag dieses Tokens auszugeben. Dies erfordert eine On-Chain-Transaktion, das heißt, sie kostet eine Netzwerkgebühr und wird in dem Moment, in dem sie bestätigt wird, dauerhaft auf der Blockchain aufgezeichnet. Da es sich um eine sichtbare, separate Transaktion handelt, zeigen die meisten Wallet-Oberflächen zumindest eine allgemeine Warnung an, dass eine Vertragsinteraktion angefordert wird statt einer einfachen Übertragung.

Permit und Off-Chain-Signaturen

Ein neuerer Standard, gemeinhin als Permit bezeichnet, erlaubt es, dieselbe Art von Freigabe über eine signierte Nachricht statt über eine On-Chain-Transaktion zu erteilen. Die Signatur selbst kostet keine Netzwerkgebühr und muss nicht sofort übermittelt werden, da der empfangende Vertrag sie zu einem beliebigen späteren Zeitpunkt der Blockchain vorlegen kann, um die Freigabe zu aktivieren. Dies ist für legitime Anwendungen bequem, da es einem Nutzer erlaubt, eine Aktion wie einen Token-Tausch in einer einzigen Interaktion statt in zwei separaten Transaktionen zu genehmigen und abzuschließen. Genau das macht Permit-basiertes Phishing aber auch schwerer bemerkbar, da eine Signaturanfrage optisch oft dem Signieren einer harmlosen Nachricht ähnelt und viele Wallet-Oberflächen historisch für eine Signaturanfrage weniger Details anzeigen als für eine vollständige Transaktion.

Permit2 und universelle Freigaben

Permit2, eine weitere Erweiterung, die breit auf dezentralen Börsen übernommen wurde, erlaubt es, eine einzelne, an einen zentralen Permit2-Vertrag erteilte Freigabe anschließend über viele verschiedene Anwendungen hinweg wiederzuverwenden, ohne für jede eine separate Freigabe zu benötigen. Dies verringert Reibung und Gebühren für legitime Nutzer, bedeutet aber auch, dass eine einzige erphishte Permit2-Signatur potenziell ein Token gegenüber jeder Anwendung offenlegen kann, die auf eine Interaktion mit dem Permit2-System ausgelegt ist, was den praktischen Schadensradius eines erfolgreichen Phishing-Versuchs im Vergleich zu einer Freigabe im älteren Stil für einen einzelnen Vertrag vergrößert.

Ein realistisches Szenario: eine gefälschte Airdrop-Beanspruchung, die eine unbegrenzte Freigabe gewährt

• In einer Krypto-Community kursiert eine Nachricht, wonach ein bekanntes Token-Projekt einen Überraschungs-Airdrop an Inhaber eines verwandten Assets verteilt, mit einem Link zu einer Claim-Seite.
• Die Claim-Seite fordert den Besucher auf, sein Wallet zu verbinden und auf eine Schaltfläche mit der Bezeichnung „Jetzt beanspruchen" zu klicken, was ein Wallet-Popup auslöst, das eine Freigabe für das Token des Projekts anfordert, lediglich beschrieben als Vertragsinteraktion.
• Der angeforderte Freigabebetrag ist auf den maximal möglichen Wert festgelegt, den der Token-Standard zulässt, statt auf einen spezifischen Beanspruchungsbetrag, wobei dieses Detail in der Standard-Bestätigungsansicht des Wallets nicht prominent angezeigt wird.
• Das Opfer bestätigt, erhält keine Token, da es nie einen echten Airdrop gab, und schließt den Tab in der Annahme, die Beanspruchung sei schlicht fehlgeschlagen oder bereits ausgeschöpft.
• Wochen später, sobald der Preis des Tokens gestiegen ist oder das Opfer ein größeres Guthaben angesammelt hat, übt der Angreifer die dauerhafte Freigabe aus und überträgt das gesamte Guthaben in einer einzigen Transaktion, die das Opfer nie direkt genehmigt hat.

Die Verzögerung zwischen der ursprünglichen Phishing-Interaktion und dem letztlichen Verlust ist beabsichtigt. Sie trennt den Diebstahl in der Erinnerung des Opfers von seiner Ursache und macht es weitaus unwahrscheinlicher, dass die konkrete Phishing-Seite gemeldet oder mit dem Verlust in Verbindung gebracht wird, wenn dieser schließlich eintritt.

Warum Freigaben-Phishing schwerer zu bemerken ist als eine direkte Drainer-Übertragung

Ein direkter Wallet-Drainer, behandelt in unserem begleitenden Leitfaden, leert ein Wallet typischerweise innerhalb von Sekunden nach der Bestätigung einer Signatur, wodurch Ursache und Wirkung für das Opfer zumindest unmittelbar danach offensichtlich sind. Freigaben-Phishing ist anders aufgebaut. Die Freigabe-Transaktion selbst bewegt nichts, sodass ein Opfer, das direkt nach der Bestätigung sein Guthaben prüft, keine Veränderung sieht und nachvollziehbar davon ausgeht, es sei nichts geschehen. Der tatsächliche Verlust kann Tage, Wochen oder Monate später eintreten, ausgeführt vom Angreifer zu einem von ihm gewählten Zeitpunkt, was bedeutet, dass das Opfer die Verbindung zwischen der ursprünglichen Phishing-Seite und dem letztlichen Diebstahl häufig überhaupt nie herstellt. Das ist auch der Grund, warum routinemäßige Freigaben-Prüfungen bei dieser spezifischen Bedrohung wichtiger sind als bei direkten Drainer-Angriffen, da ein reales, wenn auch in seiner Länge ungewisses Zeitfenster besteht, in dem der Widerruf der Freigabe jeden Verlust vollständig verhindert.

Wie der Angriff typischerweise durchgeführt wird

Gefälschte Claim- und Verifizierungsseiten

Der häufigste Aufbau ist eine Seite, die eine Airdrop-Beanspruchung, einen Wallet-Verifizierungsschritt oder eine routinemäßige Protokollinteraktion nachahmt. Das Opfer verbindet sein Wallet in Erwartung einer einfachen Bestätigung, und die Seite fordert stattdessen eine Freigabe für ein wertvolles Token an, dargestellt im Wallet-Popup als allgemeine Vertragsinteraktion statt als etwas Alarmierendes.

Permit- und Permit2-Signatur-Phishing

Eine neuere und schwerer erkennbare Variante missbraucht einen Signaturstandard, häufig als Permit oder Permit2 bezeichnet, der es erlaubt, eine Freigabe durch eine off-chain signierte Nachricht statt durch eine On-Chain-Transaktion zu erteilen. Da das Signieren einer Nachricht nicht immer dieselben visuellen Warnungen wie eine Transaktion auslöst und keine Netzwerkgebühr kostet, unterschreiben Opfer sie mit größerer Wahrscheinlichkeit ohne genaue Prüfung. Ein vielfach berichteter Fall betraf einen Trader, der rund eine Million Dollar durch eine einzige Permit2-Signatur verlor, nachdem er sie mit einer routinemäßigen Bestätigung auf der Oberfläche einer dezentralen Börse verwechselt hatte.

Verzögerte Ausnutzung

Da eine Freigabe nicht sofort genutzt werden muss, sammeln Angreifer häufig große Mengen an Freigaben über viele Wallets hinweg und üben sie später in Chargen aus, oft zeitlich abgestimmt auf Phasen, in denen der Preis eines Tokens gestiegen ist oder in denen das Opfer das betreffende Wallet mit geringerer Wahrscheinlichkeit aktiv überwacht. Diese Verzögerung ist mit ein Grund, warum Opfer einen Verlust manchmal nicht mit der ursprünglichen Phishing-Interaktion in Verbindung bringen können, da zwischen den beiden Ereignissen Wochen oder Monate liegen können.

Wie Sie bestehende Freigaben überprüfen und widerrufen

• Nutzen Sie ein seriöses Freigaben-Prüftool, das den On-Chain-Freigabeverlauf Ihres Wallets ausliest und jede aktive Berechtigung auflistet, zusammen mit dem Vertrag, der sie hält, und dem abgedeckten Betrag.
• Widerrufen Sie jede Freigabe, die Sie nicht erkennen oder nicht mehr benötigen, insbesondere unbegrenzte Freigaben, die mit unbekannten oder selten genutzten Verträgen verknüpft sind.
• Achten Sie besonders auf Freigaben im Permit2-Stil, da sie in den meisten Wallet-Oberflächen optisch weniger auffällig sind als eine standardmäßige On-Chain-Freigabetransaktion.
• Machen Sie den Widerruf zu einer Routinepraxis nach der Interaktion mit jeder neuen oder unbekannten dezentralen Anwendung, statt es nur reaktiv nach der Entdeckung eines Verlusts zu tun.

Über die Überprüfung bestehender Freigaben hinaus lohnt es sich, einige spezifische Anzeichen in dem Moment, in dem eine neue Freigabe angefordert wird, als sofortiges Stoppsignal zu behandeln statt als etwas, das später überprüft wird.

• Der für die Freigabe angezeigte angeforderte Betrag entspricht dem vom Token-Standard maximal zulässigen Wert statt einer konkreten, an die beanspruchte Aktion gebundenen Zahl.
• Die Seite verlangt eine Freigabe, bevor irgendein greifbarer Nutzen, eine Belohnung oder eine Dienstleistung gezeigt wird, statt als natürlichen zweiten Schritt einer von Ihnen initiierten Interaktion.
• Das Wallet-Popup beschreibt die Anfrage nur als Signatur oder allgemeine Vertragsinteraktion, ohne eine für Menschen verständliche Zusammenfassung dessen, was autorisiert wird.
• Die Seite kombiniert Dringlichkeit, etwa einen Countdown-Timer oder ein begrenztes Beanspruchungsfenster, mit einer Anfrage nach einer Wallet-Freigabe statt einer direkten Transaktion.

Eine vollständige Anleitung zum Widerrufsprozess selbst, einschließlich der üblicherweise verwendeten Tools und wie zu interpretieren ist, was jede Freigabe tatsächlich autorisiert, finden Sie in unserem eigenen Leitfaden Token-Freigaben widerrufen. Dieser Prozess ist einer der wenigen wirklich wirksamen Verteidigungsschritte, die einem Wallet-Inhaber zur Verfügung stehen, da er dauerhaften Zugriff direkt schließt, statt sich allein auf das Vermeiden zukünftiger Phishing-Versuche zu verlassen.

Wenn eine Freigabe bereits ausgenutzt wurde

Sind bereits Gelder über eine ausgenutzte Freigabe abgeflossen, sollte die Freigabe selbst dennoch sofort widerrufen werden, um zu verhindern, dass ein verbleibendes Limit auch nach einem ersten Diebstahl erneut genutzt wird. Die Transaktion, die den Diebstahl ausgeführt hat, sollte zusammen mit der ursprünglichen Freigabe-Transaktion mit Zeitstempeln und Kennungen dokumentiert werden, da diese Abfolge einem Ermittler häufig erlaubt festzustellen, wie die Kompromittierung geschah und ob sie mit einem umfassenderen Muster von Drainer-Aktivität in Verbindung steht, ausführlicher behandelt in unserem Leitfaden zu Wallet-Drainer-Angriffen.

Häufig gestellte Fragen

Quellen und weiterführende Informationen

• What are token approvals · MetaMask
• 2026 Crypto Crime Report: Scams · Chainalysis
• Uniswap Permit2 Phishing: $1 Million Loss Highlights Risk · Cryptonomist

Verwandte Beiträge