In der Welt von Ethereum, Smart Contracts und DeFi gibt es heute eine offensichtliche Bedrohung, die gefährlicher ist als ein klassischer Hack einer Krypto-Brieftasche. Dazu ist weder der Diebstahl einer Seed-Phrase noch eines privaten Schlüssels noch ein Hack eines Computers oder einer Brieftasche erforderlich – eine einzige unvorsichtige, unüberlegte digitale Signatur reicht aus.
Vor kurzem verlor ein Nutzer des Ethereum-Netzwerks auf genau diese Weise 999'999 USDT, nachdem er eine gefälschte Token-Genehmigung bestätigt hatte. Dieser Vorfall war ein weiterer Beweis dafür, dass das Phishing von Token-Genehmigungen zu einer der effektivsten Methoden für den Diebstahl von Vermögenswerten geworden ist.
Nach den vom Dienst Scam Sniffer veröffentlichten Informationen hat das Opfer lediglich eine betrügerische Anfrage zur Erteilung einer Token-Genehmigung unterzeichnet. Im selben Moment versuchte ein automatisiertes Skript, genau 1'000'000 USDT abzubuchen. Obwohl die Transaktion aufgrund eines Fehlbetrags von 631 Dollar auf dem Kontostand nicht zustande kam, korrigierte das Skript bereits nach 36 Sekunden seinen eigenen Fehler und überwies den Restbetrag in drei Transaktionen auf fremde Konten: 639'999, 200'000 und 159'999 USDT. Auf diese Weise verlor der Nutzer schlagartig 999'999 USDT. Dabei war der private Schlüssel des Besitzers nicht kompromittiert, da der Nutzer dem Smart Contract selbst die Berechtigung erteilt hatte. Die Überweisungen wurden in den Ethereum-Blöcken Nr. 25489460 und 25489463 protokolliert.
Was ist «Token Approval»-Phishing?
Die Funktion «approve()» im ERC-20-Standard ermöglicht es, einem Smart Contract das Recht zu erteilen, die Token des Nutzers auszugeben. Dies ist ein normaler Funktionsmechanismus für viele DeFi-Protokolle, zum Beispiel: Uniswap, Aave, Curve, 1inch und einige andere.
Betrüger nutzen verschiedene Schlupflöcher aus, unter anderem kopieren sie das Design bekannter Dienste oder bieten gefälschte Airdrops, NFT-Mints oder eine «Wallet-Verifizierung» an. Nach dem Klicken auf die Schaltfläche unterzeichnet der Besitzer der digitalen Vermögenswerte faktisch eigenhändig eine unbefristete Ermächtigung («Unlimited Approval»). Und ab diesem Moment erhält der Vertrag das rechtmässige Recht, Vermögenswerte ohne zusätzliche Bestätigung durch den Nutzer abzubuchen. Solche Angriffe stellen also keinen Hack der Blockchain dar – sie nutzen lediglich das Vertrauen der Menschen aus.
Warum das funktioniert: fünf technische Faktoren
1. «Unlimited Allowance» – uneingeschränkte Berechtigung zur Nutzung von Token.
2. Multicall – die Zusammenfassung mehrerer Vorgänge in einer einzigen Transaktion, was die Reaktionszeit drastisch verkürzt.
3. Skripte passen den Abbuchungsbetrag sofort an den tatsächlichen Kontostand an.
4. Verzögerte Nutzung der Genehmigung – Gelder können sogar Stunden, Tage, Wochen oder sogar Monate nach der Unterzeichnung entwendet werden.
5. Unzureichende Visualisierung der Signaturen in vielen Web3-Wallets, wodurch Nutzer die tatsächlichen Folgen einer Bestätigung nicht erkennen.
Der menschliche Faktor bleibt entscheidend. Gerade Eile, Unachtsamkeit, der Wunsch, einen kostenlosen Airdrop zu erhalten, oder die Angst, eine lukrative Gelegenheit zu verpassen (FOMO), veranlassen Menschen dazu, gefährliche Anfragen zu bestätigen.
Das Ausmass des Problems
Solche Fälle sind schon lange keine Einzelfälle mehr, und ihre Zahl steigt stetig – allein im Jahr 2025 führten Phishing-Angriffe in 248 bestätigten Vorfällen zu Verlusten von rund 723'000'000 Dollar (laut Daten von CertiK). In der ersten Hälfte des Jahres 2026 wurden die durch Phishing verursachten Schäden auf weitere rund 366'000'000 Dollar geschätzt. Es sei angemerkt, dass die Experten von Scam Sniffer in den letzten drei Jahren regelmässig gross angelegte Diebstähle durch gefälschte Genehmigungsanfragen verzeichneten, wobei die Automatisierung der Angriffe und der Einsatz von KI deren Effizienz nur noch weiter steigern.
So werden Sie nicht zum nächsten Opfer
Der heutige Kryptomarkt ähnelt immer weniger einem Kampf zwischen Hackern und technologischen Systemen. Heutzutage ist nicht mehr eine technische Schwachstelle das Hauptziel, sondern der Mensch. Eine einzige unvorsichtige, «auf die Schnelle» erteilte Zustimmung kann teurer zu stehen kommen als jahrelange Investitionen.
Experten für Cybersicherheit empfehlen, niemals unverständliche Nachrichten zu unterzeichnen, nicht mehr benötigte Token-Genehmigungen regelmässig zu widerrufen und für die Aufbewahrung grösserer Beträge Hardware-Wallets zu verwenden. Dabei betonen die Fachleute, dass man für die Interaktion mit neuen DeFi-Projekten eine separate Wallet haben und die URL-Adressen der Websites sorgfältig überprüfen sollte, bevor man die Wallet verbindet.
