MSTR Cat

Kryptorecht/Niveau IV · Fallen für Inhaber/4.2 Betrug aus Sicht des Rechts/Lektion 3

Wallet-Drainer und Approval-Betrug

Wie eine Signatur, die Sie einer Website geben, es jemand anderem ermöglichen kann, Ihr Wallet zu leeren; was die Token-Standards tatsächlich zulassen; und wo das Recht steht, wenn die Zustimmung durch Täuschung erlangt wurde.

Bildung statt Rechts-, Steuer- oder Anlageberatung. Das Kryptorecht unterscheidet sich von Land zu Land und von Bundesstaat zu Bundesstaat und ändert sich häufig. Prüfen Sie die an Ihrem Wohnort geltenden Regeln mit einem qualifizierten Anwalt oder Steuerberater, bevor Sie handeln.

Der schlanke Weg

Der günstigste, steuerärmste, einfachste und diskreteste Weg, den das Recht erlaubt – das Beste zuerst. Jeder Schritt nennt die Regel, auf der er beruht, und die Bedingung, unter der er rechtmäßig bleibt.

  1. Kostenlose erste Maßnahme: Lesen Sie jede Signieranforderung, lehnen Sie unbegrenzte Genehmigungen und permit-Signaturen auf Websites ab, die über Nachricht, Anzeige oder Airdrop erreicht wurden; ERC-20-Genehmigungen und ERC-2612-permits bleiben nutzbar, bis sie verbraucht, widerrufen oder abgelaufen sind.
  2. Widerrufen Sie veraltete Genehmigungen mit dem Token-Genehmigungsprüfer eines Blockexplorers, wie vom FBI empfohlen; jeder Widerruf kostet nur eine Netzwerkgebühr und kann einen früheren Diebstahl nicht rückgängig machen.
  3. Bewahren Sie die meisten Vermögenswerte in einem separaten Wallet auf, das nie mit Websites verbunden wird, und verwenden Sie ein Wallet mit niedrigem Saldo für Apps; Übertragungen zwischen Ihren eigenen Wallets sind in den USA nicht steuerpflichtig, aber halten Sie die Anschaffungskosten-Aufzeichnungen für jedes davon.
  4. Nach einem Draining (Leeren) dokumentieren Sie Hashes und erstatten Sie sofort kostenlos Anzeige bei ic3.gov, da Gelder, die eine Kryptobörse oder ein einfrierbarer Stablecoin erreichen, manchmal eingefroren werden können; eine in eine Website eingegebene Phrase bedeutet, alles in ein neues Wallet zu verlegen.

MaterialienDer Text des ERC-20-Token-Standards, die Abschnitte zu approve und transferFrom (eips.ethereum.org)ERC-2612, die 'permit'-Erweiterung, die es ermöglicht, Genehmigungen durch eine signierte Nachricht zu erteilenDie öffentliche Information I-072122-PSA des FBI (21. Juli 2022) zu Liquiditäts-Mining-BetrugsmaschenEin Token-Genehmigungsprüfer eines Blockexplorers, der verwendet wird, um die Genehmigungen Ihrer eigenen Adresse anzuzeigen

Neugier

  1. Wie kann jemand mein Wallet leeren, wenn ich nie jemandem meine Seed-Phrase mitgeteilt habe?
  2. Worauf genau einige ich mich, wenn eine Website mich bittet, zu verbinden oder zu signieren?
  3. Wenn ich selbst auf 'genehmigen' (approve) geklickt habe, ist es dann aus rechtlicher Sicht immer noch Diebstahl?

Erkunden

  1. Ein Wallet-Drainer ist eine bösartige Website, App oder ein Smart Contract, der einen Wallet-Inhaber dazu bringt, etwas zu signieren, das dem Angreifer ermöglicht, die Vermögenswerte des Inhabers zu bewegen. Im Gegensatz zu einer gestohlenen Seed-Phrase (Lektion 4.1.5) vollzieht die eigene Signatur des Inhabers den Vorgang, sodass das Wallet den Diebstahl als autorisiert behandelt. Das Verbinden eines Wallets mit einer Website teilt in der Regel nur Ihre öffentliche Adresse; die Gefahr liegt in den anschließenden Anforderungen zur Genehmigung oder Signierung. Drainer gelangen über gefälschte Airdrops, gefälschte Mint-Seiten, Lookalike-Sites, Suchanzeigen und gefälschte 'Support'-Nachrichten (Lektion 4.2.4). Da das Ergebnis eine gewöhnliche Blockchain-Übertragung ist, kann kein Betreiber sie rückgängig machen (Lektion 1.1.6).
  2. Die Mechanik stammt aus den Token-Standards. Die meisten Tokens auf Ethereum und ähnlichen Chains folgen ERC-20. Seine approve-Funktion erlaubt einem 'Spender' (Auszahlenden), von Ihrem Konto 'mehrfach, bis zu' einem von Ihnen festgelegten Betrag abzuheben, und transferFrom ist der Weg, wie der Spender die Tokens dann bewegt. Dezentrale Börsen und andere Apps verwenden Genehmigungen aus legitimen Gründen, und viele Schnittstellen fordern aus Bequemlichkeit einen sehr großen oder 'unbegrenzten' Betrag an. Eine Genehmigung bleibt in Kraft, bis sie aufgebraucht oder geändert wird. So kann eine einem bösartigen Vertrag erteilte Genehmigung Tage oder Monate später verwendet werden, um jeden Token dieses Typs zu nehmen, einschließlich von Tokens, die Sie nach der Signierung erhalten haben.
  3. Zwei neuere Funktionen erweitern das Risiko. ERC-2612, ein finaler Ethereum-Standard, fügt eine permit-Funktion hinzu, die eine Genehmigung durch eine signierte Nachricht anstelle einer On-Chain-Transaktion setzt; wer auch immer die Signatur hält, kann sie vor Ablauf ihrer Frist einreichen. Ein Pop-up, das so aussieht, als würde es 'zum Anmelden signieren' oder 'zum Einfordern signieren' sagen, kann daher eine permit sein, ohne Gebühr und ohne Transaktion, die Sie warnt. Für NFTs erlaubt die setApprovalForAll-Funktion des ERC-721-Standards einem 'Operator', alle Tokens eines Inhabers in einer Sammlung zu verwalten. Einige Drainer überspringen Genehmigungen ganz und fordern auf einem gefälschten Formular nach der Seed-Phrase, was das gesamte Wallet herausgibt.
  4. Das FBI hat diese Muster dokumentiert. Seine Warnung von Juli 2022 zu 'Liquiditäts-Mining'-Betrugsmaschen beschrieb Opfer, die einen garantierten Ertrag von 1 bis 3 Prozent pro Tag versprochen bekamen und ihre Wallets verknüpften und ein Pop-up akzeptierten, das so gestaltet war, dass es die Oberfläche des Wallets nachahmte, wodurch sie unbewusst Betrugsmaschinen erlaubten, einen unbegrenzten Betrag abzuheben; es zählte Verluste von über 70 Millionen US-Dollar seit Januar 2019. Eine Warnung von Juni 2025 beschrieb NFT-'Airdrops' im Hedera-Netzwerk, deren Memo-Links zu Websites führten, die nach Seed-Phrasen fragten. Beide Warnungen behandeln das Ergebnis als Diebstahl, und das FBI empfiehlt, regelmäßig einen Token-Genehmigungsprüfer von einem Drittanbieter zu verwenden.
  5. Im US-Recht ist eine durch Täuschung erlangte Erlaubnis keine echte Zustimmung. Ein Plan, Vermögen unter falschen Vorwänden über das Internet zu erlangen, ist Drahtbetrug (Wire Fraud) gemäß 18 U.S.C. §1343, mit bis zu 20 Jahren Gefängnis, und die Diebstahlsgesetze der Bundesstaaten decken in der Regel Vermögen ab, das durch Täuschung erlangt wurde. Die Möglichkeit, klagen oder anklagen zu können, ist eine andere Sache als die Rückholung der Vermögenswerte, da Drainer-Betreiber oft anonym und im Ausland sind. Für die Besteuerung behandelte IRS Chief Counsel Memorandum 202511015 Verluste aus Phishing und gehackten Konten, die zur Investition gehalten wurden, als abzugsfähige Diebstahlsverluste; es betraf Bank- und Altersvorsorgekonten, daher hängt davon ab, wie es auf ein geleertes Wallet angewendet wird, von den Umständen.
  6. Praktische Prüfungen: Lesen Sie, was eine Signieranforderung tatsächlich autorisiert, einschließlich der Adresse des Spenders (Spender) und des Betrags; behandeln Sie jede Anforderung auf einer Website, die Sie über eine Nachricht, Anzeige oder einen Airdrop erreicht haben, als verdächtig; und prüfen und widerrufen Sie alte Genehmigungen mit einem Genehmigungsprüfer. Der Widerruf ist selbst eine Transaktion, die eine Netzwerkgebühr kostet, und er kann einen bereits erfolgten Diebstahl nicht rückgängig machen. Wenn Sie jemals Ihre Seed-Phrase in eine Website eingegeben haben, reicht der Widerruf von Genehmigungen nicht aus, da das gesamte Wallet exponiert ist. Nach einem Draining (Leeren) dokumentieren Sie die Transaktions-Hashes und Adressen und erstatten Sie sofort Anzeige (Lektion 4.2.7), da Gelder, die eine Kryptobörse oder ein einfrierbarer Stablecoin erreichen, manchmal eingefroren werden können.

Kernfakten

  • Gemäß dem ERC-20-Standard erlaubt approve einem Spender (Spender), von einem Konto mehrfach abzuheben, bis zu dem genehmigten Betrag.
  • Die transferFrom-Funktion von ERC-20 ermöglicht es einem genehmigten Spender (Spender), Tokens im Namen des Inhabers zu bewegen.
  • ERC-2612 fügt eine permit-Funktion hinzu, die Token-Genehmigungen (Allowances) mit einer signierten Nachricht anstelle einer vom Inhaber gesendeten On-Chain-Transaktion ändert.
  • Die setApprovalForAll-Funktion von ERC-721 autorisiert einen Operator, alle NFTs eines Inhabers in diesem Vertrag zu verwalten.
  • Die FBI-Warnung I-072122-PSA berichtete über Verluste von mehr als 70 Millionen US-Dollar seit Januar 2019 durch Liquiditäts-Mining-Betrugsmaschen, die Wallet-Rechte verwendeten.
  • Drahtbetrug (Wire Fraud) gemäß 18 U.S.C. §1343 ist mit bis zu 20 Jahren Gefängnis strafbar oder mit bis zu 30 Jahren, wenn er eine Finanzinstitution betrifft.

Übung neun, sechs, drei, eins

9SammelnNennen Sie bis zu 9 Arten von Wallet-Prompts oder -Anforderungen, die Sie bereits gesehen haben, wie z. B. verbinden, genehmigen (approve), erlauben (permit), Genehmigung für alle setzen, eine Nachricht signieren, eine Seed-Phrase eingeben oder einen Airdrop einfordern.
6GruppierenOrdnen Sie diese in 6 Kategorien ein: Adressfreigabe, Token-Genehmigungen, signierte Nachrichten, NFT-Betreiber-Genehmigungen (Operator Approvals), direkte Übertragungen und Anfragen nach geheimen Schlüsseln oder Phrasen.
3VerdichtenReduzieren Sie die 6 Kategorien auf 3 Risikostufen: an sich harmlos, riskant, wenn die Website bösartig ist, und niemals sicher, sie einer Website zu übergeben.
1KristallisierenSchreiben Sie einen Satz, der beschreibt, was Sie wissen möchten, bevor Sie eine Genehmigung in einer Wallet signieren.

Faktcheck

Datumsangaben, Zahlen und Behauptungen wurden mit den unten aufgeführten veröffentlichten Quellen abgeglichen.

In der interaktiven Akademie öffnen →

EN PT ES ZH JA KO RU FR MS