Wie Sie prüfen, was Ihre Wallet freigegeben hat

Die meisten Menschen, die Token an einen bösartigen Contract verlieren, wurden in keinem technischen Sinne gehackt. Sie haben etwas freigegeben, und die Freigabe wirkte noch lange, nachdem sie sie vergessen hatten. Dieser Leitfaden erklärt, was eine Freigabe ist, wie Sie Ihre eigenen einsehen und — ebenso wichtig — wovor deren Prüfung Sie nicht schützt.

Was eine Freigabe tatsächlich ist

Standardmäßige fungible Token erlauben es einem Contract nicht, Ihnen Token zu entnehmen. Stattdessen erteilen Sie eine Erlaubnis: eine dauerhafte Berechtigung für eine bestimmte Spender-Adresse, jederzeit bis zu einem bestimmten Betrag eines bestimmten Tokens von Ihrer Adresse zu bewegen.

Drei Eigenschaften dieser Berechtigung sind wichtig, und alle drei überraschen die Leute:

• Sie bleibt bestehen. Die Erlaubnis wird nicht durch die Transaktion verbraucht, für die Sie sie erteilt haben. Sie besteht fort, bis sie aufgebraucht oder geändert wird.
• Sie ist in der Regel unbegrenzt. Oberflächen fordern üblicherweise den höchstmöglichen Wert an, weil das erneute Nachfragen vermeidet und Gas spart. Das bedeutet, die Berechtigung umfasst Ihren gesamten Bestand dieses Tokens — einschließlich der Token, die Sie später erwerben.
• Sie ist adressspezifisch, nicht anwendungsspezifisch. Sie vertrauen einer Contract-Adresse. Wird ein Front-End kompromittiert und bittet Sie, eine andere Adresse freizugeben, wirkt an der Website nichts falsch.

Der Vorfall bei BadgerDAO ist die deutlichste Veranschaulichung in unserem Tracker. Die Contracts des Protokolls wurden nie ausgenutzt. Angreifer schleusten Skript in die Website ein, das Nutzer um Freigaben an eine von ihnen kontrollierte Adresse bat, und die Freigaben erledigten den Rest.

So sehen Sie sich Ihre Freigaben an

Freigaben sind öffentliche On-Chain-Daten. Sie brauchen keinen speziellen Dienst, um sie zu sehen, und wir schicken Sie bewusst zu keinem.

Jeder große Block-Explorer bietet für eine Adresse eine Ansicht der Freigaben oder Token-Freigaben. Fügen Sie Ihre eigene öffentliche Adresse ein — jene, die mit 0x beginnt und die Sie zum Empfang von Mitteln weitergeben — und Sie sehen die Liste der Spender-Adressen, die Ihr Konto autorisiert hat, je Token und mit dem Erlaubnisbetrag.

Das ist eine reine Leseabfrage. Sie erfordert keine Wallet-Verbindung, keine Signatur und keinen Schlüssel. Wenn irgendetwas, das Ihnen Ihre Freigaben zeigen will, zuvor eine Wallet-Verbindung verlangt, schließen Sie es.

Die Liste lesen

Sie achten auf drei Dinge:

1. Spender, die Sie nicht wiedererkennen. Eine Adresse, die Sie keinem bewusst genutzten Protokoll zuordnen können.
2. Protokolle, die Sie nicht mehr nutzen. Eine Erlaubnis, die einem vor zwei Jahren aufgegebenen Dienst erteilt wurde, ist heute noch aktiv.
3. Unbegrenzte Erlaubnisse auf hohe Bestände. Das Risiko ist der Bestand, nicht der Betrag, den Sie ursprünglich bewegt haben.

Wozu Conisec Ihnen nicht raten wird

Wir werden Ihnen nicht sagen, dass Sie etwas widerrufen sollen, und wir verlinken keine Widerrufs-Tools. Das ist eine bewusste redaktionelle Haltung, keine Vorsicht um ihrer selbst willen.

Nach jedem öffentlichen Vorfall tauchen rasch betrügerische „Revoke“-, „Recovery“- und „Checker“-Seiten auf, werden aggressiv beworben und ranken oft gut für genau jene Suchanfragen, die eine beunruhigte Person stellt. Eine Publikation, die ihre Leserschaft routinemäßig zu Oberflächen für die Freigabenverwaltung schickt, trainiert genau die Gewohnheit, auf die diese Angreifer setzen. Was Sie mit einer Freigabe tun, die Ihnen missfällt, ist Ihre Entscheidung, getroffen über eine Oberfläche, der Sie bereits vertrauen, und erreicht über einen Weg, den Sie bereits kennen.

Wovor Sie das nicht schützt

Freigaben zu überprüfen lohnt sich, und es ist für sich genommen keine Sicherheitsstrategie. Es ändert nichts an:

• Einer kompromittierten Seed-Phrase. Wenn jemand Ihre Recovery-Phrase hat, sind Erlaubnisse belanglos — die Person hat das Konto.
• Der Signatur einer bösartigen Transaktion. Freigaben regeln Token-Übertragungen durch Dritte; sie hindern Sie nicht daran, eine Übertragung selbst zu autorisieren.
• Off-Chain-Signaturen. Manche Berechtigungsverfahren und Marktplatz-Orders beruhen auf signierten Nachrichten statt auf On-Chain-Erlaubnissen, und diese erscheinen nicht in einer Standardansicht der Freigaben.
• Vermögenswerten auf einer Börse. Token, die auf einer verwahrenden Plattform liegen, befinden sich nicht in Ihrer Wallet und haben keine Freigaben.

Die Gewohnheit, die sich lohnt

Sehen Sie sich Ihre Freigaben gelegentlich an, über Ihr eigenes Lesezeichen zu einem Block-Explorer, den Sie bereits nutzen, wenn nichts schiefgegangen ist. Der schlechteste Zeitpunkt, diese Oberfläche kennenzulernen, sind die zwanzig Minuten, nachdem Sie gelesen haben, dass ein von Ihnen genutztes Protokoll ausgenutzt wurde — genau in diesem Moment wartet nämlich eine gefälschte Version davon auf Sie.