Warum es gefälschte Token-Verträge gibt und wer tatsächlich darauf hereinfällt
Der Begriff „gefälschter Token-Vertrag" deckt ein breites Spektrum ab, von offensichtlicher Malware bis hin zu Verträgen, die technisch funktionieren, aber den Großteil des Wertes an den Ersteller zurückleiten. Der gemeinsame Nenner ist, dass der Herausgeber eine Vertragsadresse veröffentlicht, die einem legitimen Projekt ähnelt, und dann darauf wartet, dass Käufer diese Adresse in eine Swap-Oberfläche einfügen. Sobald Liquidität an einer dezentralen Börse erscheint (eine Peer-to-Peer-Handels-App, bei der Nutzer direkt gegen einen gemeinsamen Token-Pool handeln), wirkt der Kauf einfach und der Ausstieg normal, bis es nicht mehr so ist.
Das Ausmaß ist beträchtlich. Chainalysis schätzte, dass Rug Pulls und Token-Impersonation-Schemata zwischen 2021 und 2024 mehr als 9 Milliarden Dollar aus Krypto-Nutzern herausgezogen haben, wobei typische Opfer jeweils einige Hundert Dollar verlieren. Die Opfer sind selten Anfänger, die offensichtliche Fehler machen. Es sind eher Leute, die einen polierten Link angeklickt, den richtigen Namen und das passende Ticker-Symbol erkannt und die wenigen Plausibilitätsprüfungen übersprungen haben, die sie gewarnt hätten.
Die gute Nachricht ist, dass auf einer öffentlichen Blockchain jede Transaktion einsehbar ist und der Betrug Spuren hinterlässt. Die schlechte Nachricht ist, dass diese Spuren nur helfen, wenn du weißt, welche Knöpfe du in einem Block-Explorer (eine Suchmaschine für Transaktionen, Verträge und Wallet-Salden auf einer bestimmten Chain wie Ethereum, Base oder BNB Smart Chain) drücken musst. Dieser Artikel führt dich Schritt für Schritt durch genau diese Prüfungen, in genau der Reihenfolge, damit der sichere Weg zur Routine wird und nicht zu einer Lektion, die du erst durch Geldverluste lernst.
Das Betrugsmuster, das du am wahrscheinlichsten erleben wirst
Der mit Abstand häufigste Verbreitungsweg ist eine bezahlte Suchanzeige. Du gibst „PEPE Coin" oder „TURBO Token" oder einen anderen trendigen Namen bei Google ein. Das oberste Ergebnis, gekennzeichnet als „Anzeige", führt zu einer sauber aussehenden Website mit poliertem Logo und einem „Jetzt kaufen"-Button. Diese Seite gibt dir eine Vertragsadresse und sagt dir, du sollst sie in Uniswap, PancakeSwap oder eine andere dezentrale Börse einfügen. Alles, von der URL bis zum Whitepaper, ist reine Fassade. Das Einzige, was echt ist, ist die Vertragsadresse, die frisch vom Betrüger erstellt wurde.
Mehrere verräterische Anzeichen begleiten dieses Muster. Die „offizielle Seite" hat ihre Domain oft erst in den letzten Wochen registriert, was du auf who.is prüfen kannst. Die angegebenen Social-Media-Kanäle verweisen auf Konten mit wenigen Followern oder Namen, die sich vom echten Handle des Projekts um ein einziges Zeichen unterscheiden. Manchmal imitieren die Betrüger die echten Projekt-Admins auf Telegram oder Discord und schicken DMs mit dem falschen Link. In jedem Fall ist das Ziel dasselbe: ein Token, dessen Verträge der Herausgeber vollständig kontrolliert.
Sobald ein Opfer in den Vertrag tauscht, entsteht der Schaden meist in einer von drei Formen. Die erste ist der klassische „Honeypot", ein Token, dessen Smart-Contract-Code Verkäufe blockiert, aber Käufe erlaubt, sodass der Inhaber zusehen kann, wie der Preis steigt, und trotzdem nie aussteigen kann. Die zweite ist ein „Steuer-Token", der bei jeder Übertragung eine Gebühr von 50 oder 90 Prozent erhebt, wobei der Großteil dieser Gebühr in die Wallet des Herausgebers fließt. Die dritte ist ein langsamer Rug Pull, bei dem ein scheinbar normaler Token tagelang gehandelt wird und dann der Herausgeber den Liquiditätspool in einer einzigen Transaktion entfernt. Ein Block-Explorer zeigt jedes dieser Muster, bevor du Geld einsetzt, wenn du weißt, wo du schauen musst.
Was du wirklich brauchst: einen Explorer, der zur Chain passt
Jede größere Chain hat mindestens einen verbreiteten Block-Explorer. Auf der Ethereum-Mainnet ist das Etherscan. Auf Base, dem Layer-2-Netzwerk von Coinbase, ist es BaseScan. Auf BNB Smart Chain ist es BscScan. Auf Arbitrum und Optimism sind es Arbiscan bzw. Optimistic Etherscan. Auf Solana ist das passende Werkzeug Solscan oder der in Phantom Wallet integrierte Explorer. Jeder davon zeigt für einen bestimmten Contract denselben Satz an Feldern: Transaktionen, Holder, Contract-Code und einen Reiter „Read Contract“ für die im Code hinterlegten öffentlichen Funktionen.
Füge die Token-Adresse immer in den Explorer ein, der zu der Chain passt, auf der du handeln willst. Ein echter Ethereum-Contract und eine gefälschte Kopie auf BNB Smart Chain können denselben Ticker teilen, und diese zu verwechseln ist an sich schon ein sicherer Weg, abgezogen zu werden. Wenn der Explorer, den du öffnest, die Adresse nicht erkennt, ist das bereits eine Warnung: Der Contract hatte fast keine organische Aktivität, und die Adresse, die du bekommen hast, ist möglicherweise gar nicht die, die das Projekt tatsächlich verwendet.
Es ist eine sinnvolle Gewohnheit, sich die drei oder vier Explorer, die du tatsächlich nutzt, als Lesezeichen zu setzen, statt sich durch Suchergebnisse zu klicken. Suchmaschinen zeigen gerne Scam-Domains über der echten Etherscan-URL an, wenn jemand das Keyword gekauft hat. Direkt dorthin zu navigieren umgeht die gesamte Klasse von „falsche Website“-Fehlern.
Check eins: Ist der Quellcode verifiziert?
Der mit Abstand wichtigste Button auf jeder Token-Contract-Seite ist der Contract-Reiter. Über dem Code-Bereich zeigen Etherscan und seine Schwester-Explorer einen kleinen grünen Haken mit der Beschriftung „Contract“, wenn der ausgerollte Bytecode mit dem veröffentlichten Quellcode übereinstimmt. Dieser Haken ist das Tor, um zu lesen, was der Token tatsächlich tut. Ohne ihn zeigt der Code-Bereich nur opaken Bytecode, was bedeutet, dass der Deployer sich entschieden hat, nicht zu veröffentlichen, was der Contract wirklich macht.
Ein nicht verifizierter Contract ist nicht automatisch ein Scam. Viele kleine Projekte haben schlicht nie ihren Quellcode hochgeladen. Aber ein nicht verifizierter Quellcode in Kombination mit einem weiteren Red Flag ist entscheidend. Behandle „nicht verifiziert + geringe Holder-Zahl + gesperrte Social-Media-Kanäle“ als das, was es fast immer ist: einen Scam. Umgekehrt erlaubt es ein verifizierter Contract, den tatsächlichen Solidity-Code zu lesen und zu prüfen, ob die Funktionen sich so verhalten, wie das Projekt behauptet.
Im Quellcode solltest du nach einigen konkreten Mustern suchen. Eine Funktion namens setTax, setFee oder updateTaxRate, die nur der Deployer aufrufen kann, bedeutet, dass die Sell-Tax über Nacht erhöht werden kann. Eine Funktion, die Adressen von Gebühren ausnimmt, wobei der Deployer fest als ausgenommene Wallet hinterlegt ist, bedeutet, dass der Contract darauf ausgelegt ist, den Ersteller zu bevorzugen. Eine Funktion mit dem Wort blacklist, gepaart mit einem Mapping namens isBlacklisted, bedeutet, dass jede Wallet vom Verkauf ausgeschlossen werden kann. Keines davon allein beweist böse Absicht; viele Projekte nutzen ein oder zwei davon legitim. Die Kombination ist entscheidend.
Check zwei: Wie viele Holder gibt es tatsächlich?
Scrolle zum Reiter „Holders“. Ein legitimer Token mit echtem Handelsvolumen zeigt normalerweise Hunderte, oft Tausende, verschiedener Wallets. Ein gefälschter Token, der gerade erst gestartet wurde, zeigt eine kleine Zahl, manchmal dominiert von einem Cluster von Wallets, die der Deployer kontrolliert, mit Namen wie „0x000…dead“ oder sequenziellen Adressen, die sich gegenseitig aus derselben Quelle finanziert haben. Die genaue Schwelle hängt vom Alter des Projekts ab, aber als Faustregel gilt: Weniger als fünfzig Holder bei einem Token, der vorgibt, ein großes etabliertes Projekt zu sein, ist ein hartes Stoppsignal.
Die Liste „Top holders“ wird aufschlussreich. Etherscan und seine Pendants zeigen den Supply-Anteil jedes Halters in Prozent. Wenn die obersten drei oder vier Wallets zusammen mehr als die Hälfte der Token besitzen, ist die auf Trackern angezeigte „Market Cap“ im Wesentlichen fiktiv. Noch schlimmer: Achte darauf, ob diese Top-Wallets mit einem öffentlichen Namens-Tag wie „Uniswap V2: ROI“ versehen sind, was darauf hindeutet, dass die Token im Liquidity Pool liegen, oder ob es unbeschriftete Adressen sind, die sich gegenseitig wenige Minuten vor dem Deployment des Contracts finanziert haben. Konzentrierter Supply in unbenannten Wallets ist das Muster eines geplanten Exits.
Es gibt eine subtile Folgeprüfung auf dem Holders-Reiter, die sich lohnt. Klicke einige der Wallets an und schaue dir ihre Historie an. Eine Wallet, die Token direkt vom Deployer-Contract in einem einzigen Batch erhalten und sie anschließend in den Liquidity Pool geleitet hat, ist eine Setup-Wallet. Eine Wallet, die aus dem Pool auf Uniswap gekauft hat, nachdem das Projekt bereits Aufmerksamkeit hatte, ist ein echter Käufer. Wenn fast jeder Holder vom ersten Typ ist, schaust du auf einen Contract, der sich selbst bezahlt hat, um den Anschein einer Crowd zu erzeugen.
Check drei: Wem gehört der Liquidity Pool?
Auf Etherscan navigierst du zur Contract-Adresse des Liquidity Pools selbst, nicht nur des Tokens, und schaust dort auf den Reiter „Contract“. Die Uniswap-V2- und V3-Pair-Contracts erlauben es dem Pool-Ersteller, dem sogenannten Deployer, die Liquidity-Position zu verwalten. Echte Projekte verbrennen entweder die Ownership des Deployers, indem sie die LP- (Liquidity-Provider-) Tokens an eine Dead-Adresse senden, oder sie übergeben die LP-Tokens an einen timelocked Contract, der eine Entnahme für Wochen oder Jahre verhindert. Beides bedeutet, dass der Deployer den Pool nicht mit einem Klick abziehen kann.
Suche nach einem Etherscan-Kommentar oder einer Audit-Notiz, die einen Lock erwähnt. Plattformen wie Unicrypt, Team.Finance und PinkSale haben wiedererkennbare Muster: Die LP-Tokens liegen in einem Contract, der nach dem Lock-Dienst benannt ist, und der Lock-Contract hat eine Funktion namens „unlock“, deren Freigabezeitpunkt in der Zukunft liegt. Klicke dich zu diesem Lock-Contract durch und lies sein Unlock-Datum. Liegt das Unlock Wochen oder Monate in der Zukunft, hat sich das Projekt zumindest zu einem langsamen Exit verpflichtet. Gibt es keinen Lock und besitzt der Deployer weiterhin die LP-Tokens, vertraust du einem Fremden darauf, sich gut zu verhalten, und genau das tun Scammer nicht.
Auch ein gelockter LP ist keine Garantie. Manche Projekte locken für 24 Stunden oder 7 Tage und ziehen den Pool dann leise ab, sobald er unlocked, und bezeichnen das Ergebnis als „natürliches Marktgeschehen“. Achte darauf, wie lange der Lock dauert und ob das Unlock eine automatische Migration auslöst. „Locked“ zählt nur, wenn der Lock länger dauert als dein geplanter Halt Zeitraum, der für die meisten Nutzer in Monaten, nicht in Stunden, gemessen werden sollte.
Prüfung vier: öffentliche Funktionen des Vertrags lesen
Der Reiter „Read Contract" auf Etherscan zeigt jede öffentliche Funktion an, für die keine Transaktion erforderlich ist. Bei einem Token sind die relevanten Funktionen in der Regel unter Namen wie name, symbol, decimals, totalSupply, balanceOf, allowance sowie verschiedene gebührenbezogene Variablen zu finden. Zwei Muster sollten sofort Ihre Aufmerksamkeit wecken. Das erste ist eine Funktion, die eine pro Transfer anfallende Gebühr auf einen Wert oberhalb weniger Prozent festlegt. Alles über 10 Prozent, insbesondere wenn die Gebühr vom Deployer nach Belieben geändert werden kann, kennzeichnet einen Steuer-Token. Manche setzen eine niedrige Kaufgebühr und eine harte Verkaufsgebühr an, weshalb es sich lohnt, beide Richtungen zu lesen, sofern der Vertrag sie getrennt ausweist.
Das zweite Muster ist ein Limit für „max transaction" oder „max wallet" in Kombination mit einer Whitelist ausgenommenener Adressen. Seriöse Projekte nutzen solche Limits, um Bots zu bekämpfen, lassen jedoch die Wallet des Deployers selbst ausgenommen. Eine Regel mit 1 Prozent Maximaltransaktion plus 1 Prozent Maximalbestand plus einer Ausnahme für den Deployer bedeutet, dass nur der Deployer selbst nennenswerte Volumen bewegen kann, und somit ist der einzige Ausstieg zu dem Preis möglich, den der Deployer festgelegt hat. Lesen Sie den Vertrag, überfliegen Sie nicht nur die Marketing-Seite.
Wenn Sie kein Solidity-Entwickler sind, konzentrieren Sie sich weniger darauf, jede Codezeile zu verstehen, sondern mehr darauf, welche Funktionen vorhanden sind und ob der Deployer sie allein aufrufen kann. Der Explorer kennzeichnet Funktionen als read-only oder write functions, und „onlyOwner"-Muster tauchen im Quellcode auf. Wenn eine einzelne Adresse den Großteil der schreibbaren Stellgrößen kontrolliert, ist der Token im Grunde eine zentralisierte Datenbank, egal wie dezentral das Marketing ihn darstellt.
Praktische Folgen: die 60-Sekunden-Vorflug-Checkliste
Bevor Sie einen Token, den Sie noch nicht genutzt haben, swappen, führen Sie die folgende Reihenfolge aus. Öffnen Sie den Explorer der jeweiligen Chain, fügen Sie die Vertragsadresse ein, und stoppen Sie beim ersten roten Flag. Die Prüfungen sind, in dieser Reihenfolge: Der Vertrag ist verifiziert, die Anzahl der Holder liegt mindestens im dreistelligen Bereich, die Top-Holder werden nicht von einem kleinen Cluster frisch finanzierter Wallets dominiert, die LP-Token des Liquiditätspools sind entweder verbrannt oder mit einer langen Sperrfrist versehen, und der Reiter „Read Contract" zeigt keine harte Steuer und keine Transfer-Blacklist. Fünf Prüfungen, unter einer Minute, keine Spezialtools erforderlich.
Ergänzen Sie diese Checkliste um einige Gewohnheiten. Holen Sie sich die Vertragsadresse immer aus den verifizierten Social-Media-Kanälen des Projekts oder aus einem seriösen Listing wie dem Bereich „Contracts" von CoinGecko, niemals aus Suchanzeigen. Gleichen Sie die Adresse Zeichen für Zeichen ab: Viele Betrügereien nutzen aus, dass die ersten und letzten Zeichen übereinstimmen, während die mittlere Buchstabenfolge ausgetauscht wurde. Im Zweifelsfall fragen Sie im offiziellen Discord-Kanal des Projekts in einer normalen Nachricht und reagieren Sie nicht auf eine DM. Admin-Imitatoren schleichen sich fast immer über Direktnachrichten ein.
Verwenden Sie getrennte Wallets für den Handel. Ihre „heiße" Wallet, also jene, die Sie mit dApps (dezentralen Anwendungen) verbinden, sollte nie mehr enthalten, als Sie bereit sind, in einer einzigen Sitzung zu verlieren. Ihre „kalte" Wallet, ein Hardware-Gerät, dessen Schlüssel nie einen internetverbundenen Rechner berühren, sollte für längerfristige Positionen dienen, und Sie sollten sie nicht mit einer neuen DEX verbinden, um einen Meme-Coin zu kaufen. Der Preis dieser Disziplin ist gering. Der Preis, sie zu vernachlässigen, ist das gesamte Guthaben auf dieser Wallet.
Falls Sie bereits interagiert haben: revoke.cash und die nächsten Schritte
Freigaben sind das unterschätzte Risiko. Wenn Sie auf Uniswap oder einer ähnlichen Plattform swappen, erteilen Sie dem Token-Vertrag die Erlaubnis, Ihre Token auszugeben, und diese Erlaubnis (als „allowance" bezeichnet) bleibt on-chain bestehen, bis Sie sie widerrufen. Ein bösartiger Vertrag kann die freigegebenen Token später abziehen, selbst wenn Sie den Token gar nicht mehr handeln wollen. Genau dafür gibt es ein Tool namens revoke.cash. Es zeigt jede aktive Allowance Ihrer Wallet an und erlaubt es, jede einzelne mit einer geringen Gas-Gebühr auf null zurückzusetzen und so die Beziehung zu beenden.
Der richtige Zeitpunkt für revoke.cash ist jetzt, nicht erst nach einem Verlust. Freigaben einmal im Monat zu bereinigen dauert etwa zehn Minuten und schließt das Einfallstor, durch das die meisten Post-Trade-Exploits laufen. Es ist auch der richtige Schritt nach einem knappen Ausgang, wenn Sie einen Token-Vertrag freigegeben, den Betrug während der oben genannten Read-only-Prüfungen erkannt und nie tatsächlich geswappt haben. Die Freigabe selbst besteht weiterhin, und sie zu widerrufen ist der verantwortungsvolle Abschluss.
Verbinden Sie das Widerrufen mit einer Rotationsgewohnheit. Nach jedem Vorfall, bei dem eine Wallet geleert wurde, selbst wenn er nur versucht wurde, verschieben Sie verbliebene Vermögenswerte auf eine neue Wallet und nutzen Sie die kompromittierte Adresse nicht weiter. Behandeln Sie eine Wallet wie eine Kreditkarte, von der Sie einen Skimmer vermuten: Sie ist nicht mehr sicher aufzubewahren. Hardware-Wallets sind im Vergleich zu den Beträgen, die sie schützen, preiswert, und eine Migration alle paar Jahre ist ein kleiner Preis für ein ruhiges Gewissen.
Token-Launches klug verfolgen
Token-Launches verlaufen schnell, und die Betrügereien rundherum ebenso. Jeden neuen Vertrag, jeden Holder-Count und jede Liquiditätssperre manuell zu verfolgen ist ein aussichtsloses Unterfangen, besonders wenn dasselbe Betrugsmuster jede Woche Dutzende Male auf jeder großen Chain auftaucht. Zippfeed liefert Schlagzeilen zu Token-Launches und Airdrops mit Sentiment-Bewertung (bullish, neutral oder bearish) sowie einer Wichtigkeitsstufe, damit Sie echte Launches von recycelten Tickern unterscheiden und jene überspringen können, bei denen die roten Flaggen bereits aufleuchten.
