Bösartiges ERC-20-Permit: Der stille Betrug, der Ihre Wallet ohne Transaktion leert

Im Jahr 2026 wurden Krypto-Nutzern über 500 Millionen $ mit einer einzigen Technik gestohlen: dem bösartigen ERC-20-Permit. Dieser Betrug ist besonders gefährlich, weil er beim Signieren keine sichtbare On-Chain-Spur hinterlässt – nur eine unauffällige Signatur, die einen Angreifer ermächtigt, Ihre Wallet jederzeit zu leeren.

Dieser Leitfaden erklärt, was ein bösartiges Permit ist, warum es 2026 der Lieblingsbetrug der Drainer ist und vor allem, wie Sie sich schützen können.

Was ist ein ERC-20-Permit?

Das Permit ist eine Erweiterung des ERC-20-Standards, die 2020 eingeführt wurde (EIP-2612). Damit kann ein Nutzer einem Smart Contract die Erlaubnis erteilen, seine Token auszugeben, ohne eine On-Chain-Transaktion senden zu müssen.

Einfach gesagt: Statt einer klassischen „Approve“-Transaktion, die Gas kostet, signieren Sie lediglich eine Nachricht mit Ihrer Wallet. Diese Nachricht wird anschließend vom Contract selbst On-Chain eingereicht.

Legitime Vorteile:

✅ Gas-Ersparnis (eine Transaktion statt zwei)
✅ Bessere UX (der Nutzer signiert einmal, alles andere läuft automatisch)
✅ Wird von Uniswap, 1inch und DEX-Aggregatoren verwendet

Das Problem: Diese Signatur ist für die meisten Wallets unsichtbar. Sie klicken auf „Signieren“ und glauben, Sie verbinden sich mit einer Website – und haben soeben den Angreifer ermächtigt, 100 000 USDC abzuziehen.

So funktioniert der Betrug in 5 Schritten

Schritt 1 – Der Köder

Sie klicken auf eine Google-Anzeige oder einen Discord-Link zu einem gefälschten Uniswap, einem gefälschten Krypto-Airdrop oder einer gefälschten NFT-Seite. Die Seite wirkt zu 100 % legitim – offizielle Logos, professionelles Design, täuschende URL (uniswaap.org statt uniswap.org).

Schritt 2 – Die Verbindungsanfrage

Die Seite fordert Sie auf, „Ihre Wallet zu verbinden“. Sie klicken, MetaMask öffnet sich, und Sie sehen nur „Nachricht signieren“. Oberflächlich betrachtet nichts Verdächtiges.

Schritt 3 – Die versteckte Nachricht

Was Sie nicht sehen: Die Nachricht enthält ERC-20-Permit-Parameter:

owner: Ihre Adresse
spender: die Adresse des Angreifers
value: Höchstbetrag (meist 115 792 089 237 316 195... = unendlich)
deadline: 30 Tage ab jetzt
nonce: Ihre aktuelle Nonce

Sie signieren. Zunächst passiert On-Chain nichts. Sie denken, es sei nichts geschehen.

Schritt 4 – Die Ausnutzung

Stunden oder Tage später reicht der Angreifer Ihre Signatur On-Chain über eine permit() + transferFrom()-Transaktion ein. Der Smart Contract akzeptiert sie, weil die Signatur mathematisch gültig ist.

Schritt 5 – Der Diebstahl

Ihre USDC, USDT, WETH oder andere ERC-20-Token werden an die Adresse des Angreifers überwiesen. Den Verlust bemerken Sie am nächsten Morgen.

Keine Rückholung möglich. Die Transaktion ist unumkehrbar. Es ist keine zentralisierte Börse beteiligt.

Permit2: Die verschärfte Variante

Permit2 ist eine von Uniswap 2022 vorgeschlagene Erweiterung, um Permits für alle ERC-20-Token zu standardisieren – auch für solche, die EIP-2612 nicht nativ implementieren.

Sie ist technisch brillant für die DeFi-UX – und katastrophal für die Sicherheit, denn:

Eine einzige Permit2-Signatur kann die Ausgabe mehrerer Token gleichzeitig autorisieren
Die Signatur bleibt Tage oder Wochen gültig
Die meisten Wallets zeigen Permit2 als schlichte „Nachricht“ ohne Details an

Ergebnis: Moderne Drainer setzen vorrangig auf Permit2, weil der Diebstahl dadurch effizienter und unauffälliger wird.

So erkennen Sie ein bösartiges Permit

Warnsignal Nr. 1: Das Signaturformat

Eine Permit- oder Permit2-Signatur erscheint in Ihrer Wallet immer als EIP-712-Typed-Message mit dieser Struktur:

Domain: PermitToken or Permit2
Types:
  Permit: [owner, spender, value, nonce, deadline]
Message:
  owner: 0xYOUR_ADDRESS
  spender: 0xUNKNOWN  ← THIS is suspicious
  value: 115792089237316195423570985008687907853269984665640564039457584007913129639935  ← That's infinity!
  deadline: 1735689600

Warnsignal Nr. 2: Der Kontext

Sie sind gerade auf einer Seite gelandet, die Sie noch nie genutzt haben → 🔴
Die Seite bietet einen kostenlosen Airdrop oder eine unnatürlich hohe Rendite → 🔴
Die Seite verlangt eine Signatur, noch bevor sie Inhalte zeigt → 🔴
Die URL enthält einen subtilen Tippfehler (uniswaap statt uniswap) → 🔴

Warnsignal Nr. 3: Unbekannter Spender

Das Feld spender (der Contract, der Ihre Token ausgeben wird) muss ein **bekannter, verifizierter** Contract sein. Handelt es sich um eine zufällige Adresse, die auf Etherscan nicht als verifizierter Contract erscheint, **ist es ein Betrug.**

So schützt Sie Lumina Wallet

Lumina Wallet entschlüsselt jede Permit- und Permit2-Signatur, bevor Sie zum Signieren aufgefordert werden. Konkret läuft das so ab:

Signatur-Dekodierung: Lumina analysiert die EIP-712-Nachricht und erkennt, ob es sich um ein Permit handelt
Spender-Prüfung: Ist der Ziel-Contract ein bekannter DEX bzw. ein bekanntes Protokoll (Uniswap, 1inch, Aave...) oder eine unbekannte Adresse?
Betragswarnung: Ist der Betrag „unendlich“ (2^256 - 1), erscheint eine kritische Warnung
Übersetzung in Klartext: Statt eines Hex-Blobs sehen Sie: „Sie ermächtigen [unbekannter Contract], [Ihr gesamtes USDC] ohne Limit für die nächsten 30 Tage auszugeben“

Ergebnis: Sie sehen genau, was Sie signieren, bevor Sie signieren. Ein bösartiges Permit versehentlich zu bestätigen, wird unmöglich.

Was tun, wenn Sie bereits ein bösartiges Permit signiert haben

Schritt 1 – Keine Panik, aber schnell handeln

Das Permit wurde möglicherweise noch nicht ausgenutzt. Sie haben ein Zeitfenster, bevor der Angreifer Ihre Signatur verwendet.

Schritt 2 – Gefährdete Token verschieben

Überweisen Sie sofort alle Ihre ERC-20-Token auf eine neue, saubere Wallet. Verwenden Sie eine frische Wallet mit einer neuen Seed Phrase. Nutzen Sie die kompromittierte Wallet nicht weiter.

Schritt 3 – Bestehende Freigaben widerrufen

Gehen Sie zu revoke.cash und widerrufen Sie alle Freigaben. Wichtiger Hinweis: revoke.cash kann eine Off-Chain-Permit-Signatur, die noch nicht ausgenutzt wurde, NICHT widerrufen. Sie können nur die Token verschieben.

Schritt 4 – Die betrügerische Seite melden

ScamAdviser
Google Safe Browsing
Chainabuse.com

Schritt 5 – Die kompromittierte Wallet aufgeben

Verwenden Sie eine Wallet, die ein bösartiges Permit signiert hat, niemals wieder – auch wenn Sie noch nichts verloren haben. Je nach Kontext könnte Ihre Signatur-Nonce weiterhin ausgenutzt werden.

Der Konsens der Experten

Vitalik Buterin (Mitgründer von Ethereum) warnte 2024 öffentlich auf X vor den Risiken von Permit2.
Chainalysis identifizierte „Malicious Permit Signing“ als Krypto-Diebstahlmethode Nr. 1 im Jahr 2025 und stufte sie damit vor klassischen ERC-20-Freigaben ein.
PeckShield dokumentierte allein 2025 über 300 Angriffe mit bösartigen Permits.

Fazit: Die unsichtbare Signatur ist die neue Gefahr

Die Ära der sichtbaren On-Chain-Transaktionen ist vorbei. Im Jahr 2026 hinterlässt der gefährlichste Betrug beim Bestätigen keine sichtbare Spur. Eine Off-Chain-Signatur, still und zeitversetzt – und Ihre Wallet ist am nächsten Tag leer.

Die einzig wirksame Verteidigung: eine Wallet, die jede Signatur in verständlichem Klartext entschlüsselt, bevor Sie sie bestätigen. Genau das tut Lumina Wallet – für Permit, Permit2 und alle bösartigen EIP-712-Signaturen.

Schützen Sie sich jetzt:

Lumina Wallet bei Google Play herunterladen | Im App Store herunterladen