Kurz erklärt: Eine Token Approval (auch Allowance) ist die Erlaubnis, die eine Wallet einem Smart Contract erteilt, eine bestimmte Menge eines Tokens im eigenen Namen zu bewegen. Sie ist im Standard ERC-20 angelegt und für den regulären Betrieb dezentraler Anwendungen unverzichtbar. Zugleich ist sie der zentrale Angriffspunkt: Nahezu jeder Wallet-Drainer zielt darauf, eine solche Freigabe zu erschleichen.
Warum es die Freigabe überhaupt gibt
Ein Token nach dem ERC-20-Standard ist kein Gegenstand in der Wallet, sondern ein Eintrag in der Buchhaltung eines Smart Contracts. Die Wallet besitzt keine Token — der Token-Contract führt eine Liste, wem welcher Betrag zusteht.
Daraus folgt ein praktisches Problem. Will ein Nutzer über eine dezentrale Tauschbörse handeln, muss deren Contract den Token in seinem Namen übertragen. Er kann das nicht von sich aus: Es fehlt ihm die Berechtigung. Der Standard löst das in zwei Schritten — der Nutzer ruft approve auf und trägt damit einen Betrag für eine fremde Adresse ein; diese ruft später transferFrom auf und bewegt bis zu diesem Betrag.
Die Freigabe ist also kein Konstruktionsfehler, sondern der Mechanismus, auf dem das gesamte dezentrale Finanzwesen aufsetzt. Ohne sie funktioniert kein Tausch, keine Kreditvergabe, kein Staking.
Was eine unbegrenzte Freigabe bedeutet
Der Betrag ist frei wählbar. In der Praxis fragen viele Anwendungen jedoch die technisch größtmögliche Zahl ab — umgangssprachlich die unbegrenzte Freigabe. Der Grund ist Bequemlichkeit: Wer einmal unbegrenzt freigibt, muss nicht vor jedem Handel erneut bestätigen und zahlt die Gebühr nur einmal.
Der Preis dafür ist eine dauerhafte Vollmacht. Sie gilt zeitlich unbegrenzt und betragsmäßig unbegrenzt, und sie gilt weiter, wenn der begünstigte Contract später kompromittiert oder von seinen Betreibern missbraucht wird.
In der forensischen Praxis ist das eine der häufigsten Schadensursachen — und eine der unangenehmsten: Zwischen Freigabe und Abfluss können Monate liegen. Der Nutzer verbindet seine Wallet mit einer Anwendung, bestätigt eine Freigabe, handelt und denkt nicht weiter daran. Der Abzug erfolgt später, ohne dass zu diesem Zeitpunkt noch eine Interaktion stattfindet.
Für die Rekonstruktion eines Falls heißt das: Der Zeitpunkt des Schadens ist nicht der Zeitpunkt der Ursache. Wer nur die letzten Tage vor dem Abfluss prüft, findet nichts.
Freigaben prüfen
Bestehende Freigaben sind öffentlich einsehbar — sie stehen als Einträge im jeweiligen Token-Contract. Prüfen lässt sich das ohne Fachkenntnis über die Freigabe-Übersichten der gängigen Blockchain-Explorer oder über spezialisierte Dienste.
Zu jedem Eintrag sind vier Angaben relevant: welcher Token betroffen ist, welche Adresse berechtigt wurde, über welchen Betrag, und wann die Freigabe erteilt wurde. Auffällig sind unbegrenzte Beträge, Berechtigungen an Adressen ohne erkennbaren Bezug zu einer genutzten Anwendung sowie Freigaben, die aus einer längst nicht mehr genutzten Anwendung stammen.
Ein verbreitetes Missverständnis: Eine bestehende Freigabe bedeutet nicht, dass bereits etwas abgeflossen ist. Sie ist eine Möglichkeit, kein Vorgang. Umgekehrt gilt aber auch, dass ihr Vorhandensein allein genügt — es braucht keine weitere Handlung des Nutzers, damit sie genutzt wird.
Bedeutung für Ermittlungen
Wird ein Abfluss über eine Freigabe ausgeführt, hinterlässt das eine charakteristische Spur: Die auslösende Transaktion stammt nicht von der geschädigten Adresse, sondern von der berechtigten. Die Gebühren zahlt der Täter.
Das ist forensisch wertvoll, weil es zwei Dinge trennt. Es belegt, dass kein Schlüsselverlust vorliegt — bei kompromittiertem Schlüssel würde der Täter unmittelbar von der Adresse des Opfers senden. Und es liefert eine Täteradresse, die selbst Gebühren zahlen musste und deren Herkunft sich weiterverfolgen lässt.
Für die Anzeige gehören daher beide Transaktionen genannt: die ursprüngliche Freigabe mit Zeitpunkt und die spätere Ausführung. Erst zusammen ergeben sie das Bild — und erst die Freigabe zeigt, über welche Anwendung der Kontakt zustande kam.
Häufige Fragen
Warum brauchen dezentrale Anwendungen eine Freigabe?
Weil ein Token nur ein Eintrag in der Buchhaltung eines Smart Contracts ist. Damit eine Anwendung Token im Namen des Nutzers bewegen kann, muss sie dazu berechtigt werden. Ohne diesen Mechanismus funktioniert weder Tausch noch Kreditvergabe noch Staking.
Ist eine unbegrenzte Freigabe gefährlich?
Sie ist eine dauerhafte Vollmacht ohne Betragsgrenze und ohne Ablauf. Sie wirkt auch dann noch, wenn der begünstigte Contract später kompromittiert oder missbraucht wird. Zwischen Freigabe und Abfluss liegen häufig Monate.
Bedeutet eine bestehende Freigabe, dass bereits Geld abgeflossen ist?
Nein. Sie ist eine Möglichkeit, kein Vorgang. Umgekehrt genügt ihr Vorhandensein aber — es braucht keine weitere Handlung des Nutzers, damit sie genutzt wird.
Woran erkenne ich in der Kette, dass ein Abfluss über eine Freigabe lief?
Die auslösende Transaktion stammt nicht von der geschädigten Adresse, sondern von der berechtigten, und der Täter zahlt die Gebühren. Das belegt zugleich, dass kein Schlüsselverlust vorliegt.
Welchen Zeitraum muss ich bei der Aufarbeitung prüfen?
Nicht nur die Tage vor dem Abfluss. Der Zeitpunkt des Schadens ist nicht der Zeitpunkt der Ursache — die Freigabe kann Monate zurückliegen und stammt oft aus einer längst vergessenen Anwendung.
Zusammenfassung
Eine Token Approval berechtigt einen Smart Contract, Token im Namen der Wallet zu bewegen — der Mechanismus, auf dem das gesamte dezentrale Finanzwesen aufsetzt und zugleich der zentrale Angriffspunkt jedes Wallet-Drainers. Unbegrenzte Freigaben wirken dauerhaft und ohne Betragsgrenze, auch wenn der begünstigte Contract erst später missbraucht wird. Weil zwischen Freigabe und Abfluss Monate liegen können, ist der Zeitpunkt des Schadens nicht der Zeitpunkt der Ursache.
Weiterführende Quellen
- EIP-20: Token Standard (Ethereum Improvement Proposals): eips.ethereum.org
- Ethereum.org — ERC-20 Token Standard: ethereum.org
- OpenZeppelin — ERC-20-Referenzimplementierung: docs.openzeppelin.com
- Revoke.cash — Was Token-Freigaben sind und wie sie widerrufen werden: revoke.cash