Was in DeFi anders ist
Dezentrale Finanzanwendungen kommen ohne Mittelsmann aus, und genau das ist zugleich das Risiko: Es gibt keinen Kundensupport, keine Rückbuchung und keine Einlagensicherung. Eine bestätigte Transaktion ist endgültig, auch wenn sie auf einem Irrtum beruhte.
Ronin Bridge, 625 Mio. Dollar
Fünf von neun Validator-Schlüsseln übernommen, danach ließen sich Auszahlungen frei unterschreiben. Der Abfluss fiel erst nach sechs Tagen auf.
Wormhole, 320 Mio. Dollar
Eine Lücke in der Signaturprüfung der Brücke erlaubte es, Guthaben aus dem Nichts zu erzeugen. Der Betreiber glich den Schaden aus eigenen Mitteln aus.
Euler Finance, 197 Mio. Dollar
Ein Fehler in einer Kreditfunktion, ausgenutzt über Flash Loans. Ungewöhnlicher Ausgang: Der Angreifer gab das Geld nach Verhandlungen zurück.
Seit 2020 wurden auf diesem Weg über sechs Milliarden US-Dollar erbeutet. Das heißt nicht, dass DeFi unbenutzbar wäre, aber es heißt, dass die Sorgfalt bei dir liegt und nicht bei einem Anbieter.
Die fünf Angriffsarten
Praktisch jeder größere Verlust fällt in eine dieser fünf Kategorien. Die ersten drei treffen dich direkt, die letzten beiden treffen das Protokoll, in dem dein Geld liegt.
Drainer
Die Signatur, die alles freigibt
Eine perfekte Kopie einer bekannten Anwendung bittet nicht um eine Überweisung, sondern um eine Unterschrift. Die gibt dem Angreifer Zugriff auf sämtliche Token der Wallet.
Rug Pull
Das Team zieht die Liquidität ab
Anonyme Entwickler, kein oder nur ein Selbst-Audit, über zwanzig Prozent der Token beim Team, Renditeversprechen im dreistelligen Bereich. Allein 2021 gingen so 2,8 Milliarden Dollar verloren.
Contract-Bug
Code mit Fehlern, unveränderlich
Reentrancy wie beim DAO-Hack 2016, fehlende Rechteprüfungen, Rechenfehler bei Token-Beträgen. Ist der Vertrag nicht aktualisierbar, bleibt der Fehler für immer drin.
Bridge
Zwei Ketten, doppelte Angriffsfläche
Brücken verwalten Guthaben auf zwei Netzen mit unterschiedlichen Sicherheitsmodellen gleichzeitig. Die drei größten DeFi-Verluste überhaupt waren Brücken-Exploits.
Oracle
Der manipulierte Preis
Ein Flash Loan verschiebt kurzzeitig den Kurs auf einer kleinen Börse, das Protokoll rechnet mit diesem Preis und verleiht zu viel. Alles innerhalb einer einzigen Transaktion.
Token-Freigaben, das unterschätzte Risiko
Jedes Mal, wenn du auf einer dezentralen Börse tauschst oder Geld in ein Protokoll gibst, erteilst du eine Token-Freigabe, also die Erlaubnis, diese Token zu bewegen. Viele Anwendungen fragen dabei standardmäßig eine unbegrenzte Freigabe ab.
Diese Erlaubnis bleibt bestehen. Wird das Protokoll später kompromittiert oder war es von Anfang an bösartig, lässt sich deine Wallet darüber leeren, auch Monate nach der letzten Nutzung. Das ist der häufigste Weg, auf dem ein Wallet ohne einen neuen Fehler des Besitzers geleert wird.
Wallet mit revoke.cash verbinden
Die Seite liest die bestehenden Freigaben deiner Adresse aus. Verbinden allein bewegt nichts und kostet nichts.
AchtungURL von Hand eintippen oder aus einem Lesezeichen öffnen. Gefälschte Revoke-Seiten sind eine eigene Masche und genau darauf ausgelegt, dass du hier unvorsichtig bist.
Freigaben nach Risiko sortieren
Unbegrenzte Freigaben stehen oben. Sieh besonders auf Protokolle, die du seit Monaten nicht mehr genutzt hast, und auf solche, die es nicht mehr gibt.
Gezielt widerrufen
Jeder Widerruf ist eine eigene Transaktion und kostet Netzwerkgebühr. Fang bei den unbegrenzten Freigaben mit den höchsten Beträgen an.
Als Gewohnheit etablieren
Nach jeder längeren DeFi-Sitzung durchgehen, mindestens aber einmal im Quartal. Freigaben sammeln sich unbemerkt an, weil sie nie ablaufen.
Ein Protokoll prüfen, bevor du es nutzt
Ein Audit bedeutet nicht „sicher“. Es bedeutet, dass unabhängige Prüfer den Code angesehen und Befunde dokumentiert haben. Interessant ist, was danach mit diesen Befunden passiert ist.
Befunde
Wurden sie behoben?
Interessant sind die kritischen und hohen Befunde und ihr Status. Ein Audit mit offenen kritischen Punkten ist ein Warnsignal, kein Gütesiegel.
Umfang
Was wurde überhaupt geprüft?
Oft deckt ein Audit nur einen Teil des Codes ab. Steht der geprüfte Umfang nicht im Bericht, ist der Bericht wenig wert.
Datum
Wie alt ist der Stand?
Nach jedem größeren Update ist ein altes Audit nur noch begrenzt aussagekräftig. Älter als sechs Monate bei aktiver Entwicklung heißt: erneut prüfen lassen.
Anzahl
Zwei Prüfer sind besser als einer
Protokolle mit mehreren unabhängigen Audits und einem laufenden Bug-Bounty-Programm nehmen das Thema erkennbar ernst.
Zehn Regeln für den Alltag
Hardware-Wallet verwenden
Jede Signatur wird am Gerät angezeigt und muss dort bestätigt werden. Das allein fängt die meisten Drainer ab.
Eigene Wallet für DeFi
Getrennt von den Beständen, die du nur hältst. Was passiert, bleibt dann auf einen kleinen Teil begrenzt.
Klein anfangen
Ein neues Protokoll bekommt zuerst einen Betrag, dessen Verlust dich nicht stört. Erst nach Wochen mehr.
Freigaben widerrufen
Nach jeder Sitzung oder mindestens quartalsweise. Der wirksamste Handgriff im ganzen Guide.
Nur Lesezeichen öffnen
Keine Links aus Suchanzeigen, Direktnachrichten oder Discord. Die Adresse einmal prüfen, dann speichern.
Signatur lesen
Vor dem Bestätigen prüfen, was autorisiert wird. Steht dort eine unbegrenzte Freigabe, obwohl du tauschen wolltest, brich ab.
Transaktion simulieren
Erweiterungen wie Pocket Universe oder Tenderly zeigen vorab, was eine Signatur bewirken würde.
Bei bewährten Protokollen bleiben
Lange Laufzeit, hoher gebundener Betrag, mehrere Audits. Neue Protokolle zahlen höhere Renditen, weil das Risiko höher ist.
Native Brücken bevorzugen
Die offizielle Brücke eines Netzes statt einer Drittanbieter-Lösung, und größere Beträge auf mehrere Vorgänge verteilen.
Renditen misstrauen
Dreistellige Jahresrenditen sind keine Gelegenheit, sondern eine Risikoangabe. Irgendwer bezahlt sie, und meistens sind das die späten Teilnehmer.
Die erste Regel wiegt alle anderen auf: Ein Hardware-Wallet verlangt für jede Signatur eine Bestätigung am Gerät und zeigt dabei an, was du gerade freigibst. Welche Modelle dafür taugen, steht im Wallet-Vergleich, die Einrichtung im Cold-Wallet-Guide.
