Warum Ihre Wallet eine Überweisung anzeigt, die Sie nie gesendet haben: Nullwert-Transaktionen und Address Poisoning

Eine unbekannte ausgehende Transaktion bedeutet nicht automatisch, dass Ihre Wallet gehackt wurde. Erfahren Sie, was Nullwert-Einträge, ähnlich aussehende Adressen und tatsächliche Vermögensbewegungen wirklich beweisen.

Was beweist dieser Eintrag über meine Wallet?

Wenn Ihr Verlauf plötzlich angibt, Sie hätten 0 USDT an eine unbekannte Adresse gesendet, beweist dieser Eintrag allein nicht, dass jemand auf Ihren privaten Schlüssel zugegriffen hat. Dritte können bestimmte Transferereignisse über null Token mit Ihrer Adresse erzeugen, ohne Ihre Unterschrift oder die Erlaubnis, einen positiven Betrag auszugeben. Der Eintrag kann in der Blockchain stehen, obwohl Sie ihn nie veranlasst haben.

Die entscheidenden Fragen sind präziser: Welcher Vermögenswert ist betroffen? Wie viel wurde tatsächlich übertragen? Wer hat die Transaktion eingereicht? Was hat tatsächliche Ausgaben autorisiert?

• Ein Token-Ereignis mit dem Betrag null beweist nicht, dass Sie etwas signiert oder ausgegeben haben. Bei einem echten Token bedeutet ein exakter Nullbetrag, dass bei diesem Transfer keine Token bewegt wurden.
• Ein Transfer unter einem bekannten Tokennamen identifiziert den Vermögenswert nicht. Ein fremder Smart Contract kann denselben Namen und dasselbe Symbol verwenden.
• Eine winzige eingehende Zahlung kann echt sein und zugleich eine irreführende Absenderadresse in Ihrem Verlauf platzieren.
• Eine bestätigte, unerklärte ausgehende Bewegung echter Vermögenswerte muss untersucht werden. Ignorieren Sie sie nicht, nur weil ein anderes Feld null anzeigt.

Dieser Leitfaden behandelt Ethereum, BNB Smart Chain (BSC) und ähnliche Netzwerke mit Tokenverträgen nach Ethereum-Art. Die Beispiele sind absichtlich vereinfachte, erfundene Datensätze, keine Screenshots oder Erkenntnisse über eine bestimmte Wallet.

Prüfen Sie zuerst, welches Feld null anzeigt

Der Begriff Nullwert-Transaktion wird für unterschiedliche Dinge verwendet. Nur eine dieser Anzeigen besagt, dass die Tokenmenge null beträgt:

• Tokenbetrag: 0 USDC. Beim echten USDC-Vertrag bedeutet ein exakter Nullbetrag, dass dieser Transfer keine USDC bewegt.
• Transaktionswert: 0 ETH. Der Haupttransaktion wurde kein ETH beigefügt. Token können trotzdem bewegt und Vertragsaktionen ausgeführt werden.
• Geschätzter Wert: $0.00. Die Oberfläche zeigt eine Bewertung in Fiatgeld. Daraus lässt sich die Tokenmenge nicht ableiten.

Auf BSC verwendet das Feld für die native Kryptowährung normalerweise BNB statt ETH. Eine Vertragsinteraktion mit einem nativen Wert von null kann Token übertragen, Ausgabeberechtigungen ändern oder andere Vorgänge auslösen. Der native Wert ist von den Eingabedaten der Transaktion getrennt.

Ein kleiner positiver Betrag kann auf $0.00 gerundet werden. Bei einem Vermögenswert ohne verlässlichen Preis kann auch die Fiat-Anzeige wenig aussagekräftig sein. Zeigen Sie den Tokenbetrag mit voller Genauigkeit an; selbst eine angezeigte Tokenmenge von 0.00 kann einen kleineren positiven Betrag verbergen. Eine schwankende Portfoliobewertung ist kein verlässlicher Nachweis darüber, wie viele Einheiten auf ein Konto ein- oder von ihm abgegangen sind.

Null ist ein zulässiger Tokenbetrag und beweist für sich genommen keinen Angriff. Ähnlich aussehende Adressen und kopierte Zahlungsdetails sind Hinweise, die untersucht werden sollten.

Warum die beiden „From“-Felder voneinander abweichen können

Ein Wallet-Verlauf kann Informationen aus verschiedenen Ebenen zusammenführen:

1. Die Transaktion: die signierte Anweisung, die an das Netzwerk gesendet wird. Bei einer gewöhnlichen Ethereum-Transaktion bezeichnet das zentrale From-Feld das signierende Konto.
2. Das Token-Ereignis: ein Eintrag, den ein Vertrag während der Ausführung ausgibt. Ein Transfer-Ereignis hat eigene Angaben für From, To und Betrag.
3. Die Verlaufszeile: die Darstellung dieser Informationen durch die Wallet oder den Explorer. Sie kann ein Ereignis als OUT markieren, weil das Ereignis Ihre Adresse als Absender aufführt.

Diese beiden From-Felder sind nicht austauschbar. Dass Ihre Adresse in einem Ereignis erscheint, ist keine Signatur Ihrer Wallet. Ein bösartiger Vertrag kann Ihre Adresse in Ereignisdaten schreiben; das bedeutet aber nicht, dass sein Protokolleintrag aus dem echten Tokenvertrag stammt. Der ausgebende Vertrag ist deshalb ein wesentlicher Teil der Beweisführung.

Ebenso identifiziert ein Transaktionshash eine Transaktion, beweist aber nicht Ihre Zustimmung. Eine aufgenommene Transaktion mit dem Status Success zeigt, dass ihre äußere Ausführung nicht zurückgesetzt wurde. Das ist keine Bestätigung für Token, Empfänger oder Zweck.

Fünf erläuterte Beispiele aus dem Transaktionsverlauf

Beispiel 1: Ein ausgehender Null-Token-Transfer, den Sie nie signiert haben

Verlaufseintrag: OUT · 0 USDC · Von Ihrer Adresse an eine unbekannte, ähnlich aussehende Adresse.

• Transaktions-From: Ein fremdes Konto hat die Transaktion eingereicht.
• Token-Ereignis-From: Das Ereignis nennt Ihre Adresse.
• Ausgebender Tokenvertrag: Der echte USDC-Vertrag in diesem Netzwerk.
• Exakter Tokenbetrag: null.

Was dies beweist: Der echte Tokenvertrag hat einen Null-Token-Transfer mit Ihrer Adresse aufgezeichnet. Dieser Transfer bewegte keine USDC. Das beweist weder, dass Ihre Wallet die Transaktion signiert hat, noch, dass der Aufrufer positive Beträge ausgeben darf oder Ihr Schlüssel gestohlen wurde.

Wie das möglich ist: ERC-20, der verbreitete Tokenstandard, verlangt, dass Transfers mit dem Betrag null Transfer-Ereignisse ausgeben. Bei gängigen Implementierungen prüft die delegierte Transferfunktion transferFrom, ob der angeforderte Betrag die Berechtigung des Aufrufers überschreitet. Null überschreitet auch eine Berechtigung von null nicht. Vorbehaltlich weiterer Vertragsregeln kann der Aufruf ohne vorherige Genehmigung erfolgreich sein.

Das gilt nicht ausnahmslos für jeden Token. Einzelne Verträge können zusätzliche Beschränkungen festlegen.

Was Sie als Nächstes prüfen sollten: Sehen Sie sich die übrige Transaktion an. Eine Nullzeile beschreibt nur diese Zeile; ein anderer Vorgang könnte andere Auswirkungen haben. Handelt es sich um einen isolierten Poisoning-Eintrag ohne verdächtige Ausgaben oder Berechtigungsänderungen, sollten Sie die platzierte Adresse meiden, statt sofort anzunehmen, dass die Wallet ersetzt werden muss.

Beispiel 2: Eine gefälschte Transaktion mit einem großen Tokenbetrag

Verlaufseintrag: OUT · 2,500 USDC · Von Ihrer Adresse an eine unbekannte Adresse.

• Angezeigtes Tokensymbol: USDC.
• Ausgebender Vertrag: Ein fremder Vertrag, nicht der echte USDC-Vertrag.
• Gemeldeter Ereignisbetrag: 2,500.
• Bewegung echter USDC in dieser Transaktion: keine.

Was dies beweist: Ein anderer Vertrag hat einen Eintrag ausgegeben, der unter der Bezeichnung USDC angezeigt wird. Das beweist nicht, dass 2,500 echte USDC Ihr Konto verlassen haben.

Eine gefälschte Transaktion in einer Wallet kann echte Blockchain-Daten enthalten, die irreführend interpretiert werden. Angreifer können Namen und Symbol eines Tokens kopieren und Ereignisse ausgeben, die früheren Zahlungen ähneln, einschließlich der Beträge. Nicht standardkonforme Verträge können außerdem Transferereignisse ausgeben, die keiner Veränderung ihrer eigenen Bestände entsprechen.

Was Sie als Nächstes prüfen sollten: Ermitteln Sie das Netzwerk und die genaue Adresse des Vertrags, der das Ereignis ausgegeben hat. Vergleichen Sie diese Adresse mit unabhängig eingeholten Vertragsinformationen des Emittenten für dieses Netzwerk. Ein bekanntes Kürzel, Logo oder Hinweis auf verifizierten Quellcode reicht nicht aus, um die Identität des Emittenten zu belegen.

Beispiel 3: Eine winzige echte Zahlung von einer ähnlich aussehenden Adresse

Verlaufseintrag: IN · 0.000001 USDC · Von einer unbekannten Adresse an Ihre Adresse.

Angenommen, der echte Tokenvertrag bestätigt den Transfer und Ihr Tokenbestand steigt um diesen winzigen Betrag. In diesem Fall sind tatsächlich Token eingegangen. Für den Empfang mussten Sie den Absender nicht genehmigen, und dadurch erhält er keine Ausgabeberechtigung.

Die Falle steckt in der Adresse. Betrachten Sie diese erfundenen Beispiele, die zur besseren Lesbarkeit mit Leerzeichen gruppiert sind. Echte Adressen enthalten keine Leerzeichen; die fett gedruckten Mittelgruppen unterscheiden sich:

Verifizierter Empfänger: 0x7a2f 1111 2222 3333 4444 5555 6666 7777 8888 9c4d

Platzierte Adresse: 0x7a2f aaaa bbbb cccc dddd eeee ffff 0000 1111 9c4d

Eine Oberfläche, die nur Anfang und Ende zeigt, könnte beide als 0x7a2f...9c4d darstellen.

Was dies beweist: Jemand hat Ihnen von dieser Adresse einen kleinen Betrag geschickt. Das beweist nicht, dass der Absender Ihr üblicher Empfänger oder ein von Ihnen kontrolliertes Konto ist. Übereinstimmende sichtbare Zeichen belegen kein Eigentum.

Was Sie als Nächstes prüfen sollten: Holen Sie die beabsichtigte Zieladresse aus einem separat verifizierten Kontakt oder von der vertrauenswürdigen Kontoseite des Empfängers. Vergleichen Sie die vollständige Adresse. Address Poisoning soll einen manipulierten Verlaufseintrag zur Adresse machen, die Sie für eine spätere Zahlung auswählen. Der Verlust kann erst später eintreten, wenn Sie einen völlig gültigen Transfer an das falsche Ziel autorisieren.

Beispiel 4: Null ETH, aber 2,500 echte Token gehen ab

Transaktionskopf: Value · 0 ETH.

• Dem Aufruf beigefügter nativer Wert: 0 ETH.
• Transfer echter Token: 2,500 USDC von Ihrer Adresse.
• Durch diese Transaktion verursachte USDC-Bestandsänderung: Abnahme um 2,500 USDC.
• Ausführungsstatus: Success.

Was dies beweist: In diesem Beispiel sind echte USDC abgeflossen. Die Null beschreibt das dem Aufruf beigefügte ETH. Sie beschreibt weder den USDC-Transfer noch schließt sie Gasgebühren aus.

Was weiterhin unklar ist: warum die Zahlung erfolgte und ob Sie sie beabsichtigt haben. Sie könnte zu einem Swap, einer Einzahlung, einem geplanten Vorgang, einer Zahlung an die falsche Adresse oder zu unautorisierten Ausgaben gehören. Vergleichen Sie sie mit Ihrer Handlung und dem beabsichtigten Ziel, bevor Sie sie einordnen.

Beispiel 5: Echte Token gehen ab, aber ein anderes Konto hat die Transaktion eingereicht

Verlaufseintrag: OUT · 500 echte USDC · Ein unbekanntes Ziel.

Nehmen wir an, die erfolgreiche Transaktion hat Ihren Bestand an echten USDC um 500 verringert, obwohl im zentralen From-Feld eine andere Person steht.

Was dies beweist: Die Token wurden bewegt. Dass ein anderer Absender die Transaktion eingereicht hat, macht diese Bewegung nicht unecht.

Ein zuvor autorisierter Ausgabeberechtigter kann eine Tokenfreigabe nutzen, ohne dass Sie jede Abbuchung erneut signieren müssen. Manche Token unterstützen auch Permit-Signaturen, die durch eine signierte Nachricht eine Berechtigung erteilen, welche Dritte einreichen können. Smart Accounts und delegierte Wallets bieten weitere Wege, wie andere eine autorisierte Operation einreichen können.

Was Sie als Nächstes prüfen sollten: Untersuchen Sie den Ausgabeberechtigten, die einschlägige Freigabe oder signierte Berechtigung und die Wallet-Operation. Bleibt die Abbuchung unerklärt, behandeln Sie sie als Sicherheitsvorfall. Die Hinweise können auf eine schädliche Freigabe, eine irreführende Signatur oder kompromittierte Kontokontrolle hindeuten; die Zeile allein unterscheidet diese Ursachen nicht.

Bei einer gewöhnlichen direkt signierten Transaktion ist Ihre Adresse im zentralen From-Feld ein Beleg für eine gültige Signatur dieses Kontos. Sie beweist trotzdem nicht, dass Sie die Handlung verstanden, diesen Empfänger gewollt oder die Transaktion persönlich eingeleitet haben. Das From-Feld eines Token-Ereignisses ist weit weniger aussagekräftig.

Was die 270 Millionen Poisoning-Versuche tatsächlich messen

Eine zweijährige Analyse der Aktivitäten auf Ethereum und BSC vom 1. Juli 2022 bis zum 30. Juni 2024 identifizierte rund 270 Millionen Poisoning-Transferdatensätze, die auf 17 Millionen Adressen zielten.

Die Datensätze gehörten zu drei Kategorien:

• 147.7 Millionen Nullwert-Transfers.
• 118.4 Millionen Transfers gefälschter Token.
• 4.0 Millionen winzige Transfers.

Diese Transferdatensätze stammten aus rund 18.2 Millionen Transaktionen, da Angreifer mehrere Datensätze bündeln können. Angegriffene Adressen sind nicht gleichzusetzen mit Personen, kompromittierten Wallets oder Opfern mit finanziellen Verlusten.

Die Analyse identifizierte 6,633 erfolgreiche Auszahlungsüberweisungen über insgesamt mindestens $83.8 Millionen. Manche Opfer zahlten mehr als einmal. Die Erkennung konzentrierte sich auf ausgewählte Stablecoins; die Verlustschätzung ist daher eine Untergrenze innerhalb dieses Umfangs und keine Gesamtsumme für alle Token oder Blockchains.

Praktisch bedeutet dies, dass eine Prüfung nur auf Nullbeträge einen erheblichen Teil des Angriffs übersieht. Gefälschte Einträge können eine bedeutende Zahlung imitieren, und ein winziger eingehender Transfer kann echte Token bewegen und zugleich eine gefährliche Adresse einführen.

So prüfen Sie Ihren konkreten Eintrag

1. Öffnen Sie die Transaktion im richtigen Netzwerk. Nutzen Sie die Explorer-Option Ihrer Wallet oder einen bekannten Explorer wie Etherscan oder BscScan. Prüfen Sie den Transaktionsstatus. Zum Lesen öffentlicher Transaktionsdetails müssen Sie keine Wallet verbinden, Token freigeben, Nachrichten signieren oder eine Wiederherstellungsphrase eingeben.
2. Identifizieren Sie den tatsächlichen Vermögenswert. Unterscheiden Sie natives ETH oder BNB von einem Token, der diesen Namen verwendet. Prüfen Sie bei Token das genaue Netzwerk und den ausgebenden Vertrag anhand einer vertrauenswürdigen Emittentenquelle.
3. Lesen Sie den Betrag mit voller Genauigkeit. Trennen Sie die Tokenmenge vom nativen Transaktionswert und der Fiat-Schätzung.
4. Unterscheiden Sie den Transaktionsabsender vom Ereignisabsender. Untersuchen Sie bei einem Smart Account auch die Wallet-Operation und deren Berechtigungen. Dass jemand anders die Gasgebühr bezahlt, beweist nicht, dass Ihre Vermögenswerte unbewegt blieben.
5. Prüfen Sie die gesamte Transaktion. Betrachten Sie alle Tokenbewegungen, Transfers nativer Coins und relevante Berechtigungsänderungen. Falls der Explorer Bestandsänderungen auf Transaktionsebene anzeigt, nutzen Sie diese zum Abgleich. Ein heute unveränderter Kontostand ist ein schwächeres Indiz: spätere Einzahlungen oder gegenläufige Transfers können frühere Bewegungen verdecken.
6. Verifizieren Sie das Ziel unabhängig. Verwenden Sie vertrauenswürdige Zahlungsangaben des Empfängers oder einen zuvor verifizierten Adressbucheintrag. Eine aktuelle Verlaufszeile ist ein Hinweis zur Prüfung, kein Beleg für das korrekte Ziel.

Falls der Explorer das Ergebnis nicht klar erkennen lässt, nennen Sie dem offiziellen Support Ihres Wallet-Anbieters das Netzwerk und den öffentlichen Transaktionshash. Beschreiben Sie gegebenenfalls die erwartete Handlung. Diese Angaben helfen, eine ungewohnte, aber beabsichtigte Operation von unerklärten Ausgaben zu unterscheiden, ohne Geheimnisse preiszugeben, die Ihre Wallet kontrollieren.

Was nach der Prüfung zu tun ist

Wenn Sie nur einen isolierten Poisoning-Eintrag gefunden haben

Blenden Sie Spam aus oder melden Sie ihn, sofern Ihre Wallet das unterstützt, und verwenden Sie dessen Adressen nicht. Das Ausblenden einer Zeile verändert die Oberfläche, löscht aber weder die Blockchain-Historie noch widerruft es Berechtigungen.

Ein Nulltransfer ist auch bei einer Freigabe von null möglich. Der Eintrag allein ist deshalb kein Grund, jede Genehmigung zu widerrufen oder alle Mittel zu verschieben. Möglicherweise gibt es zu diesem Eintrag gar keine Ausgabeberechtigung, die entfernt werden könnte. Nutzen Sie niemals die beworbene Website eines Tokens oder den Wiederherstellungslink eines Fremden, um Ihre Wallet zu „bereinigen“.

Wenn Sie eine verdächtige Ausgabeberechtigung gefunden haben

Verwenden Sie die vertrauenswürdige Freigabeverwaltung Ihrer Wallet, um die betreffende Berechtigung zu prüfen und zu widerrufen. Eine Website von Ihrer Wallet zu trennen, widerruft keine bereits bestehenden On-Chain-Tokenfreigaben. Ein Widerruf betrifft diese Berechtigung; er kann keinen gestohlenen privaten Schlüssel reparieren.

Wenn echte Vermögenswerte ohne Ihre Absicht bewegt wurden

Bewahren Sie den Transaktionshash, das Netzwerk, den betroffenen Vermögenswert und die einschlägigen Adressen auf. Prüfen Sie aktuelle Signaturen, Freigaben und Wallet-Vorgänge über offizielle Supportkanäle.

Gibt es Hinweise, dass Ihre Wiederherstellungsphrase oder Ihr privater Schlüssel offengelegt wurde, erstellen Sie auf einem vertrauenswürdigen Gerät eine neue Wallet mit neuer Wiederherstellungsphrase und übertragen Sie verbleibende Vermögenswerte nach einem sorgfältigen Plan. Ein weiteres Konto aus der kompromittierten Phrase behebt das Problem nicht. Falls Mittel automatisch verschwinden, zahlen Sie nicht immer mehr Gasgeld ein: Ein Sweeper könnte es abgreifen.

Wenn Sie eine Zahlung bewusst signiert, aber ein manipuliertes Ziel kopiert haben, halten Sie diesen Unterschied fest. Die Zahlung kann korrekt signiert und ausgeführt worden sein, aber beim falschen Empfänger ankommen. Das allein beweist nicht, dass Ihr privater Schlüssel gestohlen wurde.

Häufige Fragen zu unbekannten Transaktionen

Hat der Angreifer mich die Gasgebühr zahlen lassen?

Beim gewöhnlichen Poisoning-Szenario reicht der Angreifer die Transaktion ein und bezahlt die Netzwerkgebühr. Allein die Nennung Ihrer Adresse in einem Token-Ereignis belastet Ihr Konto nicht. Gesponserte Transaktionen und Smart Accounts bedeuten jedoch, dass sich allein am Gebührenzahler nicht erkennen lässt, ob eine Operation harmlos war. Prüfen Sie die tatsächlichen Folgen.

Was passiert, wenn die Transaktion fehlgeschlagen ist?

Ein zurückgesetzter Tokentransfer wurde nicht abgeschlossen, obwohl Gasgebühren angefallen sein können. Falls die Wallet Kontodelegation nutzt, prüfen Sie diese gesondert: Ethereum kann eine Delegation beibehalten, selbst wenn die anschließende Ausführung scheitert. Eine unbekannte Delegation sollte geprüft werden.

Würde eine Hardware-Wallet Address Poisoning verhindern?

Sie bietet eine weitere Möglichkeit, das Ziel vor der Signatur zu prüfen. Sie kann ein vom Angreifer kontrolliertes Ziel nicht korrekt machen, wenn Sie es genehmigen. Vergleichen Sie die vollständige Adresse auf dem vertrauenswürdigen Signaturdisplay mit unabhängig verifizierten Empfängerangaben.

Kann ich verhindern, dass Fremde solche Einträge hinzufügen?

In der Regel können Sie Dritte nicht daran hindern, Vermögenswerte zu senden oder einschlägige Datensätze mit einer öffentlichen Adresse zu erzeugen. Wallet- und Explorer-Filter können die sichtbaren Einträge verringern. Speichern Sie verifizierte Empfänger und prüfen Sie vor Zahlungen die vollständige Zieladresse; nur Nullwert-Einträge auszublenden erfasst nicht alle Fälschungen und winzigen Transfers.