DeFi-Sicherheitscheckliste: 7 Schritte vor jeder Transaktion

Warum eine DeFi-Sicherheits-Checkliste wichtiger ist als ein „gutes Projekt"

Wenn du etwas Zeit in Crypto Twitter verbracht hast, hast du Beiträge gesehen, die wie Nachrufe klingen: eine Wallet leergeräumt, eine Token-Genehmigung ausgenutzt, eine gefälschte Airdrop-Seite, eine Bridge, die stillschweigend Gelder an einen Angreifer geschickt hat. Das Detail, das fast immer unerwähnt bleibt, ist, dass der Nutzer – nicht das Protokoll – den letzten Knopf gedrückt hat. Das Protokoll kann ehrlich, auditiert und bekannt sein, und du kannst trotzdem alles verlieren, indem du am richtigen Ort das Falsche signierst.

Das klingt düster, ist aber eigentlich eine gute Nachricht. Es bedeutet, dass die Fehlerart menschlich und prozedural ist, nicht kryptografisch. Es gibt keinen Exploit zu patchen, keine Zero-Day abzuwarten. Es gibt eine Routine aufzubauen, und die Routine passt auf eine Karteikarte. Das Ziel dieser DeFi-Sicherheits-Checkliste ist es, dir diese Routine zu geben: eine kleine Reihe von Prüfungen, die du jedes Mal in derselben Reihenfolge durchführst, bevor du eine Transaktion in einer Self-Custody-Wallet signierst.

Bevor wir die sieben Schritte durchgehen, hilft es, das zu benennen, wogegen du dich tatsächlich verteidigst. Drei Muster machen den überwältigenden Großteil der realen Verluste alltäglicher Nutzer aus, und jedes wird durch einen bestimmten Schritt später in diesem Artikel adressiert.

• Phishing und Klon-Seiten. Eine Domain, die identisch mit einer echten aussieht, aber von einem Angreifer registriert wurde. Ein Suchergebnis, eine Anzeige oder ein bezahlter Link können dich dorthin führen.
• Missverstandene Genehmigungen. Du signierst eine Token-Genehmigung, die einem Vertrag erlaubt, einen Token aus deiner Wallet zu bewegen – manchmal in unbegrenzter Menge – und diese Berechtigung lebt On-Chain, bis du sie widerrufst.
• Transaktionen, die nicht wie Signaturen aussehen, aber Unerwartetes tun. Ein „Airdrop beanspruchen"-Button, der in Wirklichkeit eine Token-Genehmigung ist, ein „Swap", der eine Permit-Signatur ist, die einer dritten Partei erlaubt, deine Gelder zu bewegen, oder eine Bridge, die in einen Vertrag mit Hintertür einzahlt.

Die echten Risiken: wie DeFi-Nutzer tatsächlich Geld verlieren

Es lohnt sich, bei den Fehlermodi konkret zu werden, denn abstrakte Warnungen, „eigene Recherche zu betreiben", ändern das Verhalten nicht. Einige wenige Muster machen die meisten Verluste aus, und jedes ist durch eine bestimmte Gewohnheit vermeidbar.

Genehmigungsbasierte Drain-Angriffe sind die mit Abstand größte Kategorie. Wenn du einen Token auf einer dezentralen Börse swappst, fordert die Seite dich normalerweise auf, dem Router-Vertrag zu erlauben, diesen Token in deinem Namen auszugeben. Diese Genehmigung wird On-Chain gespeichert und überlebt Sitzungen hinweg. Wenn der Router-Vertrag später aktualisiert, gekapert wird oder von Anfang an nicht vertrauenswürdig war, kann der Angreifer transferFrom auf dieser Genehmigung aufrufen und deine Token jederzeit bewegen. Unbegrenzte Genehmigungen sind bequem, aber sie sind auch eine langfristige Haftung. Eine nützliche Faustregel: Behandle jede Genehmigung wie einen Schlüssel, den du einem Fremden übergibst, und frage dich, wie lange dieser Schlüssel halten soll.

Permit-Signaturen (EIP-2612) und Off-Chain-Signaturen fügen eine zweite Ebene hinzu. Manche dapps bitten dich, eine Nachricht zu signieren statt einer Transaktion. Die Nachricht sieht vielleicht wie Kauderwelsch aus, kann aber die gleiche Ausgabeberechtigung wie eine Genehmigung gewähren – ohne Gas-Kosten und standardmäßig ohne On-Chain-Eintrag. Tools, die Signaturen dekodieren, gibt es genau deshalb, weil dieses Format leicht zu missbrauchen ist. Wenn du ein Permit von einer bösartigen Seite signierst, kann der Angreifer es später On-Chain einreichen und deine Token bewegen, ohne dass du weiter interagieren musst.

Bridges und Cross-Chain-Swaps sind ein dritter Hotspot. ETH von Mainnet nach ARB oder gewrappten SOL-Versionen zu bridgen bedeutet normalerweise, Gelder in einem Vertrag auf der Quell-Chain zu sperren und ein gewrapptes Äquivalent auf der Zielseite zu minten. Bugs in Bridge-Verträgen haben einige der größten Verluste in der DeFi-Geschichte verursacht, und die Angriffsfläche ist breiter als bei einem typischen Swap. Bridgen ist auch tendenziell eine der Operationen, bei denen Nutzer die meiste Reibung tolerieren – genau dann drücken Betrüger am stärksten.

Schließlich gibt es noch schlichte Wallet-Hygiene-Versäumnisse. Eine einzige Hot Wallet, die über zwei Jahre hinweg Genehmigungen für zwanzig verschiedene dapps signiert hat, ist ein einzelner Fehlerpunkt. Alte Genehmigungen zu widerrufen ist eine echte, nützliche Gewohnheit, keine Paranoia. Seiten wie revoke.cash gibt es, um dies einfach zu machen, und ein vierteljährlicher Durchgang dort lohnt die zehn Minuten.

Schritt 1: Auf die richtige URL landen, auf die langweilige Art

Bevor du irgendetwas anderes tust, vergewissere dich, dass du dich auf der echten Seite befindest. Die meisten Phishing-Versuche sind nicht clever; es handelt sich um eine bezahlte Suchanzeige oder einen gesponserten Social-Media-Beitrag, der auf eine Domain verweist, die sich von der echten um ein Zeichen oder um ein Unicode-Doppelgänger-Zeichen unterscheidet. Das „l" in einer URL ist möglicherweise kein lateinisches kleines L. Es kann ein kyrillisches Zeichen sein, das identisch dargestellt wird. Die einzige zuverlässige Verteidigung besteht darin, eine DeFi-Seite niemals über einen Link aufzurufen, den du nicht persönlich kontrollierst.

Gib die Domain selbst in die Adressleiste ein oder verwende ein Lesezeichen, das du beim ersten Besuch der legitimen Seite erstellt hast. Wenn dir jemand in einem Discord-Kanal einen Link zu „der Airdrop-Seite" schickt, gehe davon aus, dass er bösartig ist, bis das Gegenteil bewiesen ist – egal wie plausibel der Benutzername aussieht. Überprüfe die URL Zeichen für Zeichen. Verifiziere den Vertrag in einem Block-Explorer wie Etherscan, bevor du deine Wallet verknüpfst oder etwas signierst; die Vertragsadresse auf der verifizierten Seite des Explorers ist die Quelle der Wahrheit, nicht die Adresse, die in einem Pop-up oder einem Tweet angezeigt wird.

Zwei weitere Gewohnheiten helfen. Erstens: Lesezeichne die echte Domain am ersten Tag und klicke nie auf einen Link, der dieses Lesezeichen umgeht. Zweitens: Wenn eine Seite dich auffordert, eine Wallet zu verbinden, ist die Verbindungsaufforderung in deiner Wallet der Moment, innezuhalten – nicht der Moment, alles zu beschleunigen. Lies die Wallet-Aufforderung, nicht nur die Webseite.

Schritt 2: Verstehe die genaue Genehmigung, die angefordert wird

Eine Genehmigung (Approval) ist eine separate, dauerhafte On-Chain-Berechtigung. Wenn du eine signierst, führst du nicht einen einzelnen Trade aus. Du sagst einem Smart Contract, dass er ab sofort – bis die Genehmigung widerrufen oder verbraucht wird – eine bestimmte Menge eines bestimmten Tokens aus deiner Wallet in deinem Namen bewegen darf. Wenn du den falschen Vertrag genehmigst, kann der Angreifer diesen Token später ohne weitere Aktion von dir abziehen.

Die meisten Wallets, einschließlich der bekanntesten, zeigen inzwischen den menschenlesbaren Betrag auf dem Bestätigungsbildschirm an. Die Zahl, auf die du achten musst, ist die zweite, nicht die erste. Wenn die Seite sagt „tausche 100 USDC gegen ETH" und die Wallet-Aufforderung sagt „unbegrenzt USDC genehmigen", wirst du um mehr gebeten, als der Trade erfordert. Lege bei großen oder unbekannten Verträgen ein individuelles Limit fest, das gerade ausreicht, um den Trade abzudecken, und widerrufe es anschließend. Der Aufwand ist real. Die Alternative ist schlimmer.

Achte besonders auf Genehmigungen für Stablecoins wie USDC und USDT sowie für hochwertige Tokens wie ETH. Eine unbegrenzte Genehmigung von USDC an einen bösartigen Router funktionell dasselbe, als würdest du jemandem einen unterschriebenen Blankoscheck über dein Stablecoin-Guthaben aushändigen. Beachte außerdem, dass einige dapps begonnen haben, permit2 oder EIP-2612-Signaturen anstelle von On-Chain-Genehmigungen zu verwenden, die das gleiche Risiko bergen können, ohne in einer typischen Genehmigungsliste aufzutauchen. Wenn eine Seite dich auffordert, eine Nachricht statt einer Transaktion zu signieren, behandle dies mit demselben Misstrauen wie eine unbegrenzte Genehmigung.

Schritt 3: Simuliere die Transaktion, bevor du sie signierst

Simulationstools führen deine Transaktion in einer Sandbox gegen den aktuellen Chain-Zustand aus und zeigen dir, was sie bewirken wird: welche Verträge sie aufruft, welche Tokens sie bewegt und wie deine Guthaben danach aussehen werden. Zwei bekannte Optionen sind Tenderly und Blowfish, und viele Wallets verfügen inzwischen über eine integrierte Simulation. Wenn deine Wallet ein Simulationsfenster hat, lies es. Wenn nicht, führe die Transaktion zuerst durch einen externen Simulator.

Worauf du achten solltest, ist jede Zeile, die nicht deiner Absicht entspricht. Wenn du 100 USDC gegen ETH tauschen wolltest und die Simulation zeigt, dass ein anderer Token bewegt wird, ein anderer Betrag oder eine Genehmigung gesetzt wird, brich ab. Wenn die Simulation zeigt, dass die Transaktion On-Chain fehlschlägt, sparst du Gas und Zeit, indem du sie gar nicht erst sendest. Wenn sie einen Vertragsaufruf an eine Adresse zeigt, die du nicht identifizieren kannst, signiere nicht.

Simulation ist keine Universallösung. Raffinierte Angreifer können Transaktionen erstellen, deren bösartiges Verhalten erst unter bestimmten Bedingungen ausgelöst wird, und eine statische Simulation kann dies übersehen. Aber für den routinemäßigen Fall, dass ein Nutzer kurz davor ist, sich zu vertippen oder auf einer Phishing-Seite zu landen, ist Simulation eine der wirksamsten Gewohnheiten, die du dir aneignen kannst – und sie ist kostenlos.

Schritt 4: Verwende eine „Browsing"-Wallet, getrennt von deiner „Signing"-Wallet

Single-Wallet-Setups sind der mit Abstand häufigste Grund, warum aus einem kleinen Fehler ein Totalverlust wird. Die Lösung ist strukturell: Verwende eine Wallet für die alltägliche DeFi-Interaktion und eine zweite, die nur bei Bedarf aufgeladen wird, zur Aufbewahrung. Dies ist die wichtigste Gewohnheit auf der gesamten Checkliste – und die, die man am leichtesten aufschiebt.

Konkret: Deine „Browsing"- oder „Hot"-Wallet enthält kleine Beträge, verbindet sich mit dapps und signiert Genehmigungen. Deine „Vault"- oder „Cold"-Wallet enthält den Großteil deiner Mittel und verbindet sich selten mit irgendetwas. Wenn du etwas Sinnvolles tun möchtest, sendest du nur den benötigten Betrag von der Vault an die Hot Wallet, führst die Operation durch und sendest (falls angebracht) ein verbleibendes Guthaben zurück. Wird die Hot Wallet kompromittiert, ist der Verlust auf das begrenzt, was sich zu diesem Zeitpunkt darin befand.

Dieses Muster ermöglicht es dir auch, für die erste Interaktion mit einem neuen Protokoll eine saubere Wallet zu verwenden. Wenn du eine Seite zum ersten Mal besuchst, ist das Risiko am größten, auf einer Phishing-Variante zu landen. Kostet dich dieser erste Besuch mit einer leeren Wallet nichts, wenn etwas schiefgeht. Erst nachdem du den Vertrag verifiziert, die URL mit einem Lesezeichen versehen und eine erfolgreiche Transaktion gesehen hast, solltest du erwägen, echte Mittel einzuzahlen.

Dieselbe Logik gilt für Chains, denen du noch nicht vertraust. Wenn du eine neue Bridge zu SOL zum ersten Mal testest, tue dies von einer Wallet aus, die nur einen kleinen Betrag enthält – nicht von der Wallet, die deinen Hauptbestand hält. Neue Chains, neue Verträge und neue Bridges sind die Orte, an denen sich das aggressivste Phishing tendenziell konzentriert.

Schritt 5: Achte auf die Chain und den Asset

Ein überraschend großer Anteil der Support-Tickets mit der Frage „wo sind meine Tokens hin" geht auf eine simple Chain-Verwechslung zurück. Die Nutzer verbinden ihre Wallet, sehen ein scheinbar korrektes Guthaben und genehmigen eine Transaktion auf einer Chain, die sie gar nicht nutzen wollten. Am häufigsten geht es um Mainnet-ETH gegenüber einer L2 wie ARB oder um eine EVM-Chain gegenüber SOL: das Adressformat ist ähnlich, die dApp ist ähnlich, die URL ist ähnlich, und die Nutzer bemerken nicht, auf welchem Netzwerk ihre Wallet gerade liegt.

Überprüfe den Netzwerk-Indikator in deiner Wallet bei jeder Transaktion. Prüfe das Asset-Symbol: „USDC" auf Mainnet ist nicht derselbe Contract wie „USDC" auf ARB, und keiner von beiden ist identisch mit der gebridgten Version, die von einer Drittanbieter-Bridge ausgegeben wurde. Wenn eine Seite angibt, USDC zu akzeptieren, deine Wallet aber USDC des falschen Netzwerks anzeigt, gilt die Genehmigung, die du gerade unterschreiben willst, möglicherweise einem Token, den die Seite gar nicht wirklich entgegennehmen kann – oder schlimmer noch, einem Token, den die Seite entgegennehmen und zu ihrem eigenen Vorteil verkaufen kann.

Für SOL gelten die entsprechenden Gewohnheiten ebenso. SOL-Wallets zeigen einen klaren Netzwerk-Indikator, und das Universum der SPL-Token ist groß genug, dass ein Phishing-Token einen echten imitieren kann. Überprüfe die Mint-Adresse des Tokens auf einem Block-Explorer, anstatt dem Symbol in einer Liste zu vertrauen. Dasselbe Prinzip gilt über alle Ökosysteme hinweg: der On-Chain-Identifier ist die Wahrheit, das Symbol ist nur ein Etikett.

Schritt 6: Widerrufe alte Genehmigungen nach einem festen Zeitplan

Genehmigungen sind hartnäckig. Sobald du einem Contract die Erlaubnis erteilst, deine USDC zu bewegen, bleibt diese Erlaubnis bestehen, bis du sie widerrufst – selbst wenn du die dApp nie wieder nutzt. Wird der Contract später ausgenutzt, bösartig aktualisiert oder war er von Anfang an ein Betrug, sind deine Tokens über diese alte Genehmigung erreichbar. Deshalb ist ein regelmäßiger Widerruf Teil der Routine, keine einmalige Pflicht.

Tools wie revoke.cash machen das einfach. Sie lesen die Chain, listen alle aktuellen Genehmigungen auf und ermöglichen dir, für jede davon eine Widerrufstransaktion abzusenden. Ein vernünftiger Rhythmus ist einmal pro Quartal oder unmittelbar nach jeder Interaktion mit einer dApp, die du nicht weiter nutzen willst. Ein Widerruf kostet zwar Gas, aber ein paar Dollar Gas sind ein geringer Preis im Vergleich zum Verlust des zugrunde liegenden Guthabens.

Zwei praktische Hinweise. Erstens: Du musst nicht jedes Mal jede Genehmigung widerrufen; konzentriere dich auf unbegrenzte Genehmigungen und auf Contracts, die du nicht wiedererkennst. Zweitens: Wenn du widerrufst, bestätigst du zugleich, dass die dApp noch funktioniert – ein nützlicher Nebeneffekt: Eine dApp, die stillgelegt wurde, hat ihre Contracts möglicherweise unter neuer Kontrolle hinterlassen, und sobald du sie zum Widerrufen wieder aufrufst, kannst du deine Lesezeichen entsprechend aktualisieren.

Schritt 7: Lies die Wallet-Abfrage – jedes Mal

Der Bestätigungsbildschirm der Wallet ist die letzte Verteidigungslinie, und genau den überspringen die meisten Nutzer am häufigsten. Dort stehen jedoch die wichtigsten Informationen: die angesprochene Contract-Adresse, die aufgerufene Funktion, das Asset und der Betrag sowie sämtliche Signatur-Payloads. Sie zu lesen dauert nur wenige Sekunden. Sie zu überspringen kann alles kosten.

Konkret solltest du vier Dinge prüfen. Die Contract-Adresse: Füge sie in einen Block-Explorer ein und vergewissere dich, dass es der erwartete Contract mit dem erwarteten Verifizierungsstatus ist. Die Funktion: „approve" ist etwas anderes als „swap", und eine „permit"-Signatur ist wieder etwas anderes. Der Betrag: Eine benutzerdefinierte Zahl unterscheidet sich von „unlimited", und „0" bedeutet in der Regel, dass du eine Stornierung signierst – das ist in Ordnung. Die Empfängeradresse: Zeigt die Abfrage eine Übertragung an eine Adresse, die du nicht kennst, brich ab.

Wenn eine dieser vier Prüfungen nicht zu dem passt, was du eigentlich tun willst, unterschreibe nicht. Schließe die Abfrage, rufe die Seite über dein Lesezeichen erneut auf und beginne von vorn. Der teuerste Satz in DeFi lautet: „Ich bin sicher, einfach unterschreiben." Der günstigste lautet: „Lass mich das noch einmal lesen."

Was tun, wenn etwas schiefgeht?

Auch mit einer perfekten Routine passieren Fehler. Der Umgang damit ist genauso wichtig wie die Vorbeugung, und die ersten Minuten zählen. Wenn du mitten in der Signatur merkst, dass etwas nicht stimmt, unterschreibe nicht. Hast du bereits unterschrieben und misstraust nun der Genehmigung, geh sofort zu revoke.cash und widerrufe die Genehmigung von einem sauberen Gerät aus. Sind die Gelder bereits bewegt worden, sind sie on-chain in der Regel nicht wiederbeschaffbar, und jeder, der dir ihre Wiederbeschaffung gegen eine Gebühr anbietet, begeht gerade den zweiten Betrug auf den ersten.

Über den Moment hinaus helfen einige Gewohnheiten, künftige Vorfälle zu überstehen. Führe eine schriftliche Übersicht, welche Wallet was hält, damit du unter Stress schnell handeln kannst. Halte in jeder neuen Wallet, die du nutzt, einen kleinen „Anfangsbestand" bereit. Übe den Widerrufsablauf einmal mit einer Test-Genehmigung, bevor du ihn unter Druck brauchst. Nichts davon ist aufregend. Aber alles funktioniert.

Die ehrliche Zusammenfassung lautet: DeFi-Sicherheit bedeutet nicht, ein Protokoll zu finden, das nicht angegriffen werden kann – denn ein solches Protokoll existiert nicht. Es geht darum, den Explosionsradius der Fehler zu verringern, die du unweigerlich machen wirst, und die Kosten dieser Fehler klein genug zu halten, dass sie verkraftbar sind. Die obige Checkliste ist eine kleine, langweilige Routine. Genau das ist der Sinn. Langweilige Routinen sind die, die Leute tatsächlich einhalten.

DeFi-Sicherheit auf smarte Weise verfolgen

DeFi bewegt sich schnell, und die Nachrichten rund um DeFi ebenso: neue Exploits, frische Phishing-Kampagnen, Vertrags-Upgrades, Bridge-Schließungen. Die relevanten Informationen manuell zu verfolgen – erst recht über mehrere Chains wie Ethereum, Arbitrum und Solana hinweg – ist ein aussichtsloses Unterfangen. Zippfeed liefert DeFi- und Sicherheits-Schlagzeilen mit Stimmungsbewertung – bullish, neutral oder bearish – und einer Wichtigkeitsstufe, damit du riskante Protokolle und Warnungen vor nachgeahmten Websites erkennst, bevor sie deine Wallet erreichen, und nicht erst danach. Kombiniere diesen Feed mit der Checkliste oben, und aus der lästigen Routine wird eine schnelle.

Häufig gestellte Fragen

Ist DeFi für Einsteiger sicher?

DeFi ist sicherer für Einsteiger, die einer Routine folgen, und riskanter für diejenigen, die es wie eine gewöhnliche Website behandeln. Die Technologie selbst ist auditiert und on-chain, aber der Nutzer ist die letzte Verteidigungslinie gegen Phishing, fehlerhafte Genehmigungen und nachgeahmte Websites. Wenn du neu bist, starte mit einem kleinen Guthaben in einer separaten „Browsing"-Wallet und überweise größere Beträge erst, nachdem du ein Protokoll einige Male erfolgreich genutzt hast. Dies ist Bildung, keine Finanzberatung; führe immer deine eigene Recherche durch, bevor du eine Transaktion signierst.

Wie funktioniert eine Token-Genehmigung eigentlich?

Eine Genehmigung ist eine On-Chain-Nachricht, die einen Smart Contract dazu berechtigt, einen bestimmten Token aus deiner Wallet bis zu einem von dir festgelegten Limit zu bewegen – und das, bis du sie widerrufst. Unbegrenzte Genehmigungen sind bequem, geben dem Vertrag aber ein langfristiges Ausgabenrecht. Eine Genehmigung zu widerrufen – über ein Tool wie revoke.cash – ist eine separate Transaktion, die Gas kostet, dieses Recht aber entfernt. Behandle Genehmigungen wie Schlüssel und übergib sie nur Verträgen, denen du vertraust, und nur so lange, wie du sie brauchst.

Sollte ich für DeFi eine Hardware-Wallet verwenden?

Eine Hardware-Wallet bietet eine starke Schutzschicht, weil der private Schlüssel niemals deinen Computer berührt, aber sie verhindert allein noch nicht, dass du eine bösartige Genehmigung signierst. Das Gerät zeigt die Transaktionsdetails an, was ein echter Vorteil ist – du musst sie aber trotzdem lesen. Eine Hardware-Wallet mit der oben genannten Checkliste zu kombinieren, insbesondere den Schritten Simulation und Überprüfung der Genehmigungen, ist eine sinnvolle Konfiguration für größere Guthaben.

Was ist der schnellste Weg, um zu prüfen, ob eine dApp-URL echt ist?

Klicke nicht auf Links aus Suchergebnissen, sozialen Medien oder DMs. Gib die Domain stattdessen direkt in die Adressleiste ein oder öffne sie über ein Lesezeichen, das du beim ersten Besuch der legitimen Website angelegt hast. Überprüfe dann die Vertragsadresse in einem Block-Explorer. Die Zwei-Schritte-Gewohnheit „URL plus Vertragsadresse" fängt die große Mehrheit der Phishing-Versuche in unter einer Minute ab.