WEEX-Sicherheitswarnung – Betrügerische Genehmigungsmasche

Was ist ein böswilliger Genehmigungsbetrug?

Böswillige Genehmigungsbetrügereien gehören zu den am weitesten verbreiteten und schädlichsten Bedrohungen im Web3-Bereich und betreffen unzählige Nutzer.

In Web3 müssen Sie bei der Interaktion mit einem Smart Contract häufig Berechtigungen erteilen, indem Sie eine Transaktion unterzeichnen. Häufige Beispiele sind:

• Genehmigung einer dApp für den Zugriff auf Ihre Token.
• Erteilung einer Vertragsberechtigung zur Übertragung Ihrer NFTs.
• Durchführung scheinbar harmloser Aktionen wie dem Anmelden oder der Eigentumsüberprüfung

Böswillige Genehmigungsbetrügereien nutzen diese Aktionen aus, indem sie Nutzer dazu verleiten, schädlichen Verträgen die Erlaubnis zur Übertragung ihrer Vermögenswerte zu erteilen.

Wichtigste Merkmale

1. Nutzer dazu verleiten, gefährliche Berechtigungen zu erteilen. Betrüger geben sich als legitime dApps, Airdrops oder NFT-Projekte aus. Sie verleiten Nutzer dazu, auf den Button „Genehmigen“ zu klicken, wodurch tatsächlich böswillige Aktionen wie der Zugriff auf Token oder NFTs autorisiert werden.
2. Vermögenswerte werden ohne Überweisung abgezogen Sie haben nichts gesendet – Sie haben lediglich auf „Bestätigen“ geklickt. Sobald die Autorisierung erteilt ist, können Angreifer jedoch jederzeit Ihre Assets überweisen, ohne dass Sie weitere Maßnahmen ergreifen müssen.
3. Genehmigungen sind oft unbegrenzt: Die meisten böswilligen Verträge fordern die maximal mögliche Berechtigung, wodurch sie dauerhaften und uneingeschränkten Zugriff auf Ihre Token oder NFTs erhalten.
4. Der Vertrag ist passiv. Betrugskontrakte stehlen nicht aktiv Fonds. Sie verlassen sich vollständig darauf, dass Nutzer bereitwillig Zustimmungen unterzeichnen, wodurch sie herkömmliche Sicherheitswarnungen umgehen können.
5. Irreführende Signaturaufforderungen: Wallet-Bestätigungsaufforderungen sind oft zu technisch oder zu stark vereinfacht, sodass es schwierig ist zu verstehen, was Sie unterschreiben. Viele Nutzer gehen davon aus, dass es sich um eine harmlose Autorisierung handelt, und bestätigen, ohne sich des Risikos bewusst zu sein.

Häufige Szenarien

1. Gefälschte Airdrop- oder NFT-Mint-Seiten bewerben „begrenzte Airdrops“ oder „kostenlose Mints“. Durch Klicken auf den Button wird eine Anfrage zur Genehmigung des Token- oder NFT-Zugriffs ausgelöst. Sobald die Genehmigung erteilt ist, können Betrüger jederzeit Ihre Assets abziehen.
2. Gefälschte DEX- oder Swap-Plattformen verbinden Ihr Wallet mit einer gefälschten dezentralen Börse, um Token zu tauschen. Anstatt einen Handel auszuführen, verleitet die Website Sie dazu, den Zugriff auf Token zu genehmigen. Ihre Fonds werden dann gestohlen.
3. Gefälschte Staking- oder Spieleplattformen fordert Sie auf einer betrügerischen DeFi- oder GameFi-Plattform „Token zu staken“ oder „mit dem Spielen zu beginnen“. Die Website fordert die Genehmigung für Ihre Token oder NFTs an – aber die gesamte Plattform ist gefälscht.
4. Gehackte Frontends legitimer Projekte Angreifer kompromittieren vertrauenswürdige Websites oder kapern DNS-Einträge, um legitime Verträge durch bösartige zu ersetzen. Die Nutzer glauben, dass sie eine echte dApp verwenden, genehmigen jedoch tatsächlich schädliche Berechtigungen.
5. Gefälschter Kundensupport oder gefälschte Dokumentation Ein gefälschter Support-Mitarbeiter sendet einen Link, der angeblich „ein Problem behebt“. Auf dieser Seite werden Sie aufgefordert, einen Vertrag zu genehmigen, der in Wirklichkeit darauf abzielt, Ihre Assets zu stehlen.

Wie es funktioniert

Die Kernidee hinter böswilligen Genehmigungen ist einfach:

Es nutzt die Unkenntnis der Nutzer über On-Chain-Berechtigungen aus. Indem sie Sie dazu verleiten, Genehmigungen zu erteilen, erlangen Betrüger die Kontrolle über Ihre Assets und stehlen sie ohne Ihr Wissen.

Technischer Prozess

Ein typischer betrügerischer Genehmigungsbetrug läuft in folgenden Schritten ab:

1. Der Betrüger setzt einen bösartigen Vertrag ein (der selbst keine Überweisungen initiiert).
2. Der Nutzer wird dazu verleitet, die Genehmigung (für Token) aufzurufen.
3. Die Genehmigung wird erteilt – die Assets verbleiben vorübergehend in der Wallet.
4. Betrüger nutzen Funktionen, um Gelder in ihre Wallet zu verschieben.
5. Da die Transaktion vom Nutzer genehmigt wurde, gilt sie als gültig und wird nicht blockiert.

Bewährte Methoden zum Selbstschutz

Achten Sie auf diese Warnsignale, um böswillige Genehmigungen zu vermeiden:

• Die dApp hat keine echte Funktionalität – sie fordert lediglich zur Genehmigung auf.
• Es fordert Zugriff auf hochwertige Assets wie ETH, Stablecoins oder NFTs.
• Die Genehmigung unterliegt keiner Ausgabenobergrenze.
• Das Signatur-Popup zeigt risikoreiche Aktionen an.
• Die Website wirkt unprofessionell oder ahmt ein bekanntes Projekt nach.
• Vermeiden Sie es, auf zufällige Links zu klicken oder Anfragen aus nicht verifizierten Quellen wie Telegram-DMs oder Twitter-Antworten zu genehmigen.

Fazit

Wenn Sie es nicht verstehen, unterschreiben Sie es nicht. Wenn es sich nicht um einen Trade handelt, überlegen Sie zweimal, bevor Sie zustimmen.

Für alltägliche Nutzer sollte die Autorisierung von Smart Contract-Berechtigungen mit äußerster Vorsicht erfolgen. Verfolgen Sie eine sicherheitsorientierte Denkweise: Behandeln Sie jede Genehmigung so, als könnte sie einen Fonds-Transfer auslösen. Überprüfen Sie jede Genehmigung vor der Unterzeichnung stets sorgfältig und doppelt.

Weiterführende Literatur

• WEEX-Sicherheitswarnung – Hochrisiko-Token
• WEEX-Sicherheitswarnung – SMS-Spoofing
• WEEX-Sicherheitswarnung – Soziale Medien und Online-Foren
• WEEX-Sicherheitswarnung – Häufige Betrugsmaschen mit Kryptowährungen