Kurz erklärt: ERC-20 ist der Standard, nach dem der weit überwiegende Teil aller Token auf Ethereum und den kompatiblen Netzwerken aufgebaut ist. Er legt fest, welche Funktionen ein Token-Contract bereitstellen muss, damit Wallets, Börsen und Anwendungen ihn ohne Sonderbehandlung verarbeiten können. Zwei dieser Funktionen — approve und transferFrom — sind zugleich die Grundlage nahezu jedes Wallet-Drainers.
Was der Standard festlegt
ERC-20 beschreibt eine Schnittstelle, keine Implementierung. Vorgeschrieben sind unter anderem die Abfrage der Gesamtmenge, die Abfrage eines Kontostands, die Übertragung aus der eigenen Wallet, die Erteilung einer Berechtigung, die Abfrage einer bestehenden Berechtigung sowie die Übertragung durch einen Berechtigten.
Der praktische Wert liegt in der Einheitlichkeit. Eine Wallet muss nicht wissen, welcher Token vorliegt — sie ruft dieselben Funktionen auf. Eine Börse kann einen neuen Token ohne Anpassung listen. Genau diese Austauschbarkeit hat die Verbreitung von Token überhaupt erst ermöglicht.
Wichtig für die Einordnung: Ein Token ist kein Gegenstand in der Wallet. Er ist ein Eintrag in der Buchhaltung eines Contracts, der festhält, wem welcher Betrag zusteht. Die Wallet hält nur den Schlüssel, mit dem sich Änderungen an diesem Eintrag autorisieren lassen.
Warum jeder einen Token herausgeben kann
Ein ERC-20-Contract lässt sich in Minuten veröffentlichen; fertige Vorlagen sind frei verfügbar. Es gibt keine Prüfung, keine Zulassung, keine Instanz, die Namen vergibt.
Daraus folgen zwei Beobachtungen, die in Schadensfällen ständig auftreten. Namen sind nicht geschützt — beliebig viele Contracts können denselben Namen und dasselbe Kürzel tragen. Was einen Token identifiziert, ist allein die Adresse seines Contracts. Und der Standard erzwingt kein Verhalten: Er schreibt vor, welche Funktionen vorhanden sein müssen, nicht, was sie tun. Ein Contract kann die Übertragung für bestimmte Adressen sperren, Gebühren einbehalten oder beliebig neue Einheiten erzeugen — und bleibt formal standardkonform.
Das ist die technische Grundlage von Honeypot-Contracts und gefälschten Token. Für die Prüfung eines Angebots ist deshalb nie der Name maßgeblich, sondern die Contract-Adresse und deren Quelltext.
Die Freigabe-Mechanik und ihre Folgen
Weil Token nur Einträge in einem fremden Contract sind, kann eine Anwendung sie nicht von sich aus bewegen. Der Standard löst das über die Zweiteilung aus Berechtigung und Ausführung — der Nutzer erteilt eine Freigabe, die Anwendung führt später aus.
Dieser Mechanismus ist für das dezentrale Finanzwesen unverzichtbar und gleichzeitig sein größtes Einfallstor. Er trennt Zustimmung von Vollzug und legt zwischen beide einen zeitlich unbegrenzten Zwischenraum.
Spätere Standards haben daran angesetzt: EIP-2612 erlaubt die Freigabe als gasfreie Signatur, Permit2 ergänzt Beträge mit Ablaufdatum. Beide lösen Bequemlichkeitsprobleme — und haben jeweils eigene Angriffsformen hervorgebracht.
Bedeutung für die Auswertung
Für die forensische Arbeit ist relevant, dass Token-Übertragungen keine gewöhnlichen Transaktionen sind. Sie erscheinen nicht als Wertüberweisung, sondern als Aufruf eines Contracts, dessen Ergebnis in einem Ereignisprotokoll festgehalten wird.
Praktisch heißt das: Wer eine Adresse nur auf Zahlungen der Netzwerkwährung prüft, sieht Token-Bewegungen nicht. Sie stehen in den Protokolleinträgen der jeweiligen Token-Contracts und werden von Blockchain-Explorern gesondert ausgewiesen.
Ebenso relevant: Der Betrag in einem solchen Eintrag ist eine ganze Zahl ohne Komma. Wie viele Stellen davon Nachkommastellen sind, legt jeder Contract selbst fest. Wer die Stellenzahl nicht berücksichtigt, kommt bei der Schadensbezifferung um Zehnerpotenzen daneben — ein Fehler, der in Laienauswertungen regelmäßig vorkommt.
Häufige Fragen
Sind Token in meiner Wallet gespeichert?
Nein. Ein Token ist ein Eintrag in der Buchhaltung eines Smart Contracts, der festhält, wem welcher Betrag zusteht. Die Wallet hält nur den Schlüssel, mit dem sich Änderungen daran autorisieren lassen.
Kann jeder einen Token mit beliebigem Namen herausgeben?
Ja. Namen und Kürzel sind nicht geschützt, es gibt keine Prüfung und keine Zulassung. Was einen Token eindeutig identifiziert, ist allein die Adresse seines Contracts.
Bedeutet standardkonform, dass ein Token unbedenklich ist?
Nein. Der Standard schreibt vor, welche Funktionen vorhanden sein müssen — nicht, was sie tun. Ein Contract kann Übertragungen sperren, Gebühren einbehalten oder neue Einheiten erzeugen und bleibt formal standardkonform.
Warum sehe ich Token-Bewegungen nicht in der normalen Transaktionsliste?
Weil sie keine Wertüberweisungen sind, sondern Contract-Aufrufe, deren Ergebnis in einem Ereignisprotokoll steht. Blockchain-Explorer weisen sie gesondert aus.
Zusammenfassung
ERC-20 legt die Schnittstelle fest, nach der fast alle Token auf Ethereum und kompatiblen Netzwerken funktionieren — und ermöglicht damit ihre Austauschbarkeit. Ein Token ist dabei kein Gegenstand in der Wallet, sondern ein Eintrag in einem fremden Contract. Namen sind nicht geschützt und der Standard erzwingt kein Verhalten, weshalb allein die Contract-Adresse zählt. Die von ihm eingeführte Trennung aus Freigabe und Ausführung ist die Grundlage des dezentralen Finanzwesens und zugleich sein größtes Einfallstor.
Weiterführende Quellen
- EIP-20: Token Standard (Ethereum Improvement Proposals): eips.ethereum.org
- Ethereum.org — ERC-20 Token Standard: ethereum.org
- OpenZeppelin — ERC-20-Referenzimplementierung: docs.openzeppelin.com
- Solidity — Sprachdokumentation: docs.soliditylang.org