Schritt 1: Inventur machen

Neugier

1. Wie kann eine vergessene Genehmigungssignatur einem Angreifer Zugang zu Ressourcen gewähren, ohne jemals den privaten Schlüssel preiszugeben?
2. Warum ist es notwendig, eine Netzwerkgebühr zu zahlen, um nicht genutzte Token-Zulassungen zurückzunehmen, wenn im Laufe des Prozesses tatsächlich keine Tokens übertragen werden?
3. Was ist der Unterschied zwischen dem Halten eines in einer Blockchain eingebundenen Assets und dem Halten der darunterliegenden Kryptowährung?

Erkunden

1. Bevor Vermögenswerte konsolidiert werden, benötigt jeder Ort, an dem Wert vorhanden ist, eine Dokumentation. Dazu gehören zentrale Tauschkonten, Wallet-Apps mit eigenem Verwaltungssystem, Token auf verschiedenen Chains, aktive Staking-Positionen, Anteile an Liquiditätspools, ausstehende Airdrop-Anfragen sowie alle im Einsatz befindlichen Seedphrasen. Eine vollständige Inventarliste zeigt nicht nur den Saldo, sondern auch die Struktur der Kontrolle auf: Welche Schlüssel welche Vermögenswerte halten und wo sich diese Schlüssel befinden. Ohne diese Übersicht besteht die Gefahr, dass der Wert später unzugänglich bleibt oder unnötigen Risiken ausgesetzt wird.
2. Auf Ketten im Stil von Ethereum stellen Token-Zulassungen einen wichtigen Sicherheitsfaktor dar. Bei der Interaktion mit dezentralen Anwendungen unterschreiben Nutzer ERC-20-Zulassungstransaktionen, die Smart Contracts die Befugnis geben, im Namen des Nutzers bestimmte Tokens auszugeben. Diese Befugnisse bestehen, bis sie ausdrücklich widerrufen werden. Wenn ein Nutzer einen Vertrag für eine anfängliche Interaktion genehmigt hat und nie zurückkehrt, um ihn zu widerrufen, behält der Vertrag uneingeschränkte oder große Ausgabemöglichkeiten für diese Assets. Ein kompromittierter oder bösartiger Vertrag kann dann den Kontostand ohne weitere Intervention des Nutzers erschöpfen.
3. Zustimmungsüberprüfungswerkzeuge wie Etherscans Token-Approval-Tool ermöglichen es Benutzern, ihre Wallet anzuschließen und alle aktiven Zustimmungen anzuzeigen. Die Aufhebung einer nicht genutzten Zustimmung ist eine Transaktion, die Gebühren verursacht, beseitigt aber einen potenziellen Angriffsweg. Der Kompromiss ist klar: Das Zahlen einer kleinen Gebühr jetzt verhindert das Risiko, später erheblichen Wert zu verlieren. Zustimmungen, die noch für in Nutzung befindliche Positionen gelten, sind nützlich; veraltete Zustimmungen von aufgegebenen Anwendungen dienen hingegen keinem Zweck.
4. Verpackte und überbrückte Vermögenswerte bringen zusätzliche Komplexität mit sich, da es sich dabei um Ansprüche auf das Eigentum Dritter oder auf Brücken-Infrastrukturen handelt – und nicht um eigene Coins. Ein auf Ethereum verpackter Token stellt einen Anspruch auf Bitcoin dar, der bei einem Verwalter hinterlegt ist; ein überbrücktes Vermögenswert auf einer anderen Kette ist ein Anspruch auf das ursprüngliche Vermögen, das in einem Vertrag gesperrt ist. Diese „Verpackungen“ hängen von der Solvenz und Ehrlichkeit der Zwischenhändler ab. In einer Übersicht ist es daher unerlässlich, festzuhalten, welche Vermögenswerte eigenständig sind und welche lediglich abgeleitete Ansprüche darstellen – schließlich unterscheiden sich ihre Sicherheitsprofile erheblich von denen des direkten Besitzes der zugrunde liegenden Coin.
5. Auf Solana kann ein SPL-Token-Konto einen Delegierten benennen, dem gestattet wird, bis zu einem festgelegten Betrag auszugeben – diese Genehmigung bleibt bestehen, bis der Eigentümer sie widerruft. Einige Wallets und Explorern listen die Delegationen auf und können sie außerdem widerrufen. Solana-Scams bringen Nutzer oft dazu, Transaktionen zu unterschreiben, die Tokens übertragen oder die Befugnisse eines Token-Kontos vollständig abtreten (Lektion 7.1.3). Daher ist es wichtig zu wissen, welche Wallets für welche Anwendungen unterschrieben haben.
6. Der letzte Schritt in dieser Inventurphase ist eine konkrete Überprüfung: Öffnen Sie einen Genehmigungsprüfer für jede aktive Adresse und scannen Sie die Liste. Jeder Vertrag, der derzeit weder zum Staking, Verleihen noch zum aktiven Handel verwendet wird, sollte zur Rücknahme markiert werden. Dieser Prozess verwandelt eine passive Holding in eine aktiv verwaltete Sicherheitsstrategie. Die Kosten bestehen aus Gasgebühren pro Rücknahme; der Vorteil ist die Schließung von „offenen Türen“, die ohne weitere Benutzerinteraktion ausgenutzt werden könnten.

Kernfakten

Übung neun, sechs, drei, eins

Faktcheck

Datumsangaben, Zahlen und Behauptungen wurden mit den unten aufgeführten veröffentlichten Quellen abgeglichen.

• Etherscan Token Approval Checker Documentation
• Solana Program Library, Token program documentation (Approve and Revoke instructions)
• ERC-20 Standard Specification: approve() and allowance() functions
• BitGo WBTC Documentation: Wrapped Bitcoin Custody Model