Wallet-Drainer: Was du beim Bestätigen wirklich freigibst – und wie du es zurücknimmst

Die in diesem Artikel bereitgestellten Informationen dienen ausschließlich zu Informationszwecken und stellen keine Finanzberatung dar. Investitionen in Kryptowährungen sind mit einem hohen Risiko verbunden.

Die meisten geleerten Wallets wurden nicht gehackt. Niemand hat den Seed erraten, niemand ist in ein Gerät eingebrochen. Die Besitzer haben selbst auf „Bestätigen" getippt – und damit einem fremden Vertrag erlaubt, ihre Token zu bewegen, wann immer er will.

Das ist der entscheidende Unterschied zu allem, was du über Wallet-Sicherheit gelesen hast: Ein Wallet-Drainer braucht deinen privaten Schlüssel nicht. Er braucht nur eine Freigabe, die du einmal erteilt hast. Sie läuft nicht ab, sie ist oft der Höhe nach unbegrenzt – und sie taucht in deinem Transaktionsverlauf nicht auf. Sichtbar wird sie erst, wenn du gezielt nach offenen Freigaben suchst.

Das Wichtigste in Kürze

• Token-Freigaben nach dem ERC-20-Standard kennen kein Ablaufdatum – der Standard sieht keines vor. Wie hoch die Freigabe ausfällt, legt die Anwendung fest, und viele tragen voreingestellt eine praktisch unbegrenzte Obergrenze ein.
• Ein Wallet-Drainer nutzt genau das: Er braucht keinen Seed, sondern eine bestätigte Freigabe.
• Seit EIP-2612 („Permit") reicht dafür eine Signatur ohne eigene Transaktion – sie kostet dich kein Gas und taucht in deinem Verlauf nicht auf.
• Eine Freigabe im hier beschriebenen Sinn gibt es nur für Token. Sicher ist dein ETH deshalb nicht: Seit EIP-7702 delegiert eine einzige Unterschrift deine Adresse an einen fremden Vertrag – der bewegt dann auch natives ETH.
• Alte Freigaben lassen sich einzeln zurücknehmen – über den Token-Approval-Checker des jeweiligen Block-Explorers oder ein Widerrufswerkzeug.
• Nach einem Vorfall zählt die Reihenfolge: erst alle Freigaben widerrufen, dann den Rest in eine frische Wallet bewegen.

Was eine Freigabe ist und warum der Wallet-Drainer sie braucht

Wenn du auf einer Tauschbörse einen Token eintauschst, passieren zwei Dinge. Erst erlaubst du dem Vertrag der Börse, diesen Token aus deiner Wallet zu nehmen. Danach führt er den Tausch aus.

Schritt eins ist die Freigabe, und sie ist der eigentliche Vorgang. Wie hoch sie ausfällt, schreibt der ERC-20-Standard nicht vor – das entscheidet die Oberfläche, die du bedienst. Viele tragen voreingestellt eine Obergrenze ein, die praktisch unendlich ist, damit du beim nächsten Tausch nicht erneut bestätigen musst. Bequem, solange der Vertrag auf der anderen Seite tut, was er soll.

Der Haken: Die Erlaubnis bleibt bestehen, auch wenn du die Seite nie wieder besuchst. Wird der Vertrag später bösartig – oder war er es von Anfang an – kann er zu jedem beliebigen Zeitpunkt zugreifen. Wochen später, wenn du längst nicht mehr daran denkst.

Ein Wallet-Drainer ist deshalb kein Einbruchswerkzeug, sondern ein Formular. Er bringt dich dazu, ihm die Erlaubnis freiwillig zu geben.

Der Wallet-Drainer über die Signatur: unsichtbar und kostenlos

Bis vor einigen Jahren war eine Freigabe immer eine Transaktion. Sie kostete Gebühren, tauchte im Verlauf auf und war hinterher nachweisbar.

Mit dem Standard EIP-2612 hat sich das geändert. Eine „Permit"-Freigabe wird außerhalb der Kette signiert: Du unterschreibst eine Nachricht, die Gegenseite reicht diese Unterschrift später selbst ein. Für dich heißt das: keine Gebühr, kein Eintrag im Transaktionsverlauf, kein Gefühl, gerade etwas Folgenreiches getan zu haben.

Genau deshalb ist die Signaturanfrage die gefährlichere von beiden. Eine Transaktion sieht nach einer Entscheidung aus. Eine Signatur sieht aus wie ein Login.

Eine Permit-Signatur trägt zwar eine Frist, das deadline-Feld. Das schützt weniger, als es klingt: Der Wert ist frei wählbar, und die Spezifikation nennt selbst die Möglichkeit, ihn so zu setzen, dass die Signatur praktisch nie verfällt. Vor allem aber begrenzt die Frist nur, wie lange die Unterschrift eingereicht werden kann – die Freigabe, die daraus entsteht, ist danach eine gewöhnliche, unbefristete.

Woran du eine Freigabe erkennst: nicht am fehlenden Gasbetrag. Auch eine harmlose Anmeldung wird gebührenfrei signiert. Entscheidend ist der Inhalt der Nachricht, den jede ernstzunehmende Wallet aufklappen kann.

• Eine reine Anmeldung nennt die Domain, deine Adresse, eine Zufallszahl und einen Zeitstempel. Sonst nichts.
• Eine Verfügung nennt einen Empfänger (spender), einen Betrag (value) und eine Frist (deadline) – oder trägt einen Nachrichtentyp wie Permit, PermitSingle oder PermitBatch.

Im Zweifel abbrechen. Eine echte Anmeldung lässt sich gefahrlos wiederholen.

Wallet-Drainer erkennen: die drei Fragen vor dem Bestätigen

Bevor du bestätigst, beantworte drei Fragen. Sie kosten zusammen zwanzig Sekunden.

1. Habe ich diese Seite selbst aufgerufen? Fast jeder Drainer erreicht sein Opfer über einen Link – aus einer Direktnachricht, einem Kommentar unter einem Beitrag, einer Suchanzeige. Wer die Adresse selbst eintippt, fällt auf die halbe Kategorie nicht herein.
2. Passt die Aktion zu dem, was ich tun wollte? Du wolltest ein NFT prägen, aber das Fenster fragt nach einer Token-Freigabe? Dann stimmt etwas nicht.
3. Was steht im Detailbereich? Jede ernstzunehmende Wallet zeigt auf Nachfrage, welcher Vertrag welche Erlaubnis bekommt. Ein unbegrenzter Betrag für einen Vertrag, den du nicht kennst, ist ein Abbruchgrund.

Eine Hardware-Wallet hilft hier zusätzlich, weil sie den Inhalt auf ihrem eigenen Display anzeigt – und dieses Display erreicht keine Schadsoftware auf dem Rechner. Welche Wallets Freigaben überhaupt verständlich aufschlüsseln, unterscheidet sich stark; der Vergleich der Software-Wallets geht darauf ein.

Wallet-Drainer aussperren: alte Freigaben prüfen und widerrufen

Was du einmal erlaubt hast, kannst du zurücknehmen. Es passiert nur nicht von selbst.

Jeder große Block-Explorer führt dafür einen Token-Approval-Checker: Adresse eingeben, und du siehst jede offene Freigabe mit Vertrag, Token und Höhe. Daneben gibt es spezialisierte Widerrufsdienste, die dasselbe über mehrere Ketten hinweg anzeigen.

Praktisch:

• Widerrufen kostet Gas. Es ist eine Transaktion auf der jeweiligen Kette. Bei vielen alten Freigaben lohnt es sich, das gebündelt zu einem Zeitpunkt mit niedrigen Gebühren zu erledigen.
• Jede Kette einzeln. Freigaben auf Arbitrum sind auf Ethereum nicht sichtbar und umgekehrt.
• Zweimal im Jahr genügt für die Routine – wichtiger ist, es nach jedem Kontakt mit einer neuen Anwendung zu tun.

Wer regelmäßig mit neuen Anwendungen arbeitet, trennt besser gleich: eine Wallet für die Bestände, eine zweite für alles Experimentelle. Was in der zweiten liegt, ist der maximale Schaden.

Wenn es passiert ist: die Reihenfolge entscheidet

Fällt dir auf, dass Token verschwinden, ist die Reihenfolge nicht beliebig. Wer zuerst überweist, überweist möglicherweise in eine Wallet, deren Freigaben noch offen sind.

1. Alle Freigaben widerrufen, beginnend bei den Token mit dem höchsten Wert.
2. Prüfen, ob deine Adresse an einen fremden Vertrag delegiert ist (EIP-7702) – und die Delegation zurücksetzen. Freigaben zu widerrufen genügt hier nicht: Eine Delegation greift auch auf natives ETH zu. Im Block-Explorer erkennst du sie daran, dass unter deiner Adresse Code hinterlegt ist.
3. Verbindung zu allen Anwendungen trennen.
4. Erst danach die verbliebenen Bestände in eine neu erzeugte Wallet bewegen – nicht in eine bestehende.
5. Ist der Seed selbst kompromittiert, hilft kein Widerruf. Dann ist die Wallet insgesamt verloren und nur noch das schnelle Wegbewegen zählt.

Und wie bei jeder Verlustmeldung gilt: Wer dir anbietet, die Coins gegen Vorkasse zurückzuholen, ist Teil des Problems. Diese Angebote finden ihre Opfer gezielt unter Beiträgen von Geschädigten.

Die zweite Masche, die auf dieselbe Gutgläubigkeit zielt, sind gefälschte Aufforderungen der Börse, Guthaben „in Sicherheit" zu bringen. Wie du die auseinandernimmst, steht in unserem Ratgeber zu den Phishing-Nachrichten nach dem MiCA-Stichtag.

Häufige Fragen

Kann ein Wallet-Drainer meinen Seed stehlen? Nein. Er arbeitet ausschließlich mit Erlaubnissen, die du erteilt hast. Deshalb hilft gegen ihn auch keine bessere Aufbewahrung des Backups, sondern nur Aufmerksamkeit beim Bestätigen.

Ist mein ETH sicher, wenn ich keine Token halte? Nicht automatisch. Für ETH gibt es zwar keine Freigabe im hier beschriebenen Sinn, aber seit EIP-7702 kann eine einzige Unterschrift deine Adresse an einen fremden Vertrag delegieren. Die Spezifikation warnt selbst, ein schlecht gebauter Delegat könne einem Angreifer nahezu vollständige Kontrolle über die Adresse geben – und das schließt das Guthaben ein.

Sind meine Bitcoin betroffen? Bitcoin selbst kennt das Konstrukt der stehenden Freigabe nicht. Zwei Einschränkungen gehören dazu: Tokenisiertes Bitcoin auf Ethereum – etwa WBTC oder cbBTC – ist ein ganz normaler Token und voll betroffen. Und auch auf Bitcoin gibt es blind unterschriebene Transaktionen auf Handelsplätzen, bei denen die Gegenseite die Empfänger nachträglich einsetzt.

Warum sehe ich die Freigabe nicht in meinem Transaktionsverlauf? Weil eine Permit-Freigabe außerhalb der Kette signiert wird. Sie erscheint erst, wenn die Gegenseite sie einreicht – und dann als deren Transaktion, nicht als deine.

Reicht es, die Wallet-App zu löschen? Nein. Die Freigabe steht auf der Blockchain, nicht in der App. Sie bleibt bestehen, egal welche Software du benutzt.

Ist eine unbegrenzte Freigabe immer falsch? Nicht zwingend – bei einer Anwendung, die du täglich nutzt, spart sie Gebühren. Falsch ist, sie zu vergeben und dann zu vergessen.

Quellen

• Ethereum Improvement Proposals: EIP-20 – Token Standard (Freigaben ohne Ablaufmechanismus)
• Ethereum Improvement Proposals: ERC-2612 – Permit Extension for EIP-20 Signed Approvals (Off-Chain-Signatur, deadline)
• Ethereum Improvement Proposals: EIP-7702 – Set EOA account code (Security Considerations zur Delegation)
• Ledger Academy: Ethereum Token Approvals Explained