Krypto bezahlen ohne Wallet-Verbindung

Sie möchten eine Rechnung bezahlen und verbinden Ihr Wallet. Auf einer gefälschten Zahlungsseite folgt sofort eine Signaturanfrage. Angeblich bestätigen Sie damit den Einkauf. Tatsächlich kann die Anfrage einem fremden Adressaten Zugriff auf Token geben oder Ihrem Konto fremden Code zuweisen. Der mögliche Verlust endet dann nicht beim Rechnungsbetrag.

Bezahlen Sie Waren oder Dienstleistungen durch einen Transfer aus Ihrem eigenen Wallet. Übernehmen Sie die Rechnungsdaten, ohne das Wallet mit der Website zu verbinden. Prüfen Sie Empfänger, Token, Netzwerk und Betrag, bevor Sie den Transfer signieren. Eine gewöhnliche Überweisung braucht keine zusätzliche Erlaubnis, mit der die Website über Ihren Restbestand verfügen darf.

Was bestätigen Sie bei einem Transfer?

Sie bestätigen eine konkrete Zahlung im Wallet. Die gewählte Menge geht an den angegebenen Empfänger im ausgewählten Netzwerk. Das Prüffenster bleibt deshalb entscheidend, auch wenn Sie die Adresse kopiert oder einen QR-Code gescannt haben. Stimmen die übernommenen Daten nicht mit der Rechnung überein, brechen Sie ab.

Ein Transfer nach Rechnungsdaten hebt bestehende Berechtigungen nicht auf. Sein Vorteil liegt beim neuen Vorgang: Für diese Zahlung geben Sie der Website keine zusätzliche Kontrolle über den Restbestand. Ob die Seite und die Rechnung echt sind, müssen Sie weiterhin prüfen.

Warum zeigt Paymos Rechnungsdaten statt WalletConnect?

Paymos hat sich bewusst für Zahlungen ohne Wallet-Verbindung zur Website entschieden. Auf der Zahlungsseite stehen die Rechnungsdaten und ein QR-Code. WalletConnect wird nicht unterstützt; Sie senden aus Ihrem eigenen Wallet.

Am Computer kann der QR-Code die Adresse oder einen Zahlungslink des gewählten Wallets enthalten. Unterstützt das Wallet diesen Link für das ausgewählte Netzwerk, hilft er beim Ausfüllen von Token, Netzwerk und Betrag. Der QR-Code auf dem Mobilgerät enthält nur die Adresse. Prüfen Sie die übrigen Angaben unabhängig davon, wie Sie sie übertragen haben.

Kann eine Wallet-Verbindung allein Token abbuchen?

Die Verbindung selbst erteilt keine Token-Freigabe und delegiert kein Konto. Üblicherweise sieht die Website die ausgewählten öffentlichen Adressen und Netzwerke. Sie kann danach weitere Anfragen stellen, die Sie im Wallet prüfen. In MetaMask lassen sich die verbundenen Konten und Netzwerke in den Website-Berechtigungen einsehen.

Auch seriöse Dienste arbeiten mit verbundenen Wallets. Auf der Phishing-Seite beginnt das Problem mit der nachfolgenden Anfrage. Was dort „Zahlung bestätigen“ heißt, kann im Wallet einen anderen Zweck haben. Lesen Sie deshalb die Anfrage selbst und bestätigen Sie keinen unklaren Schritt.

Wie weit reicht eine Token-Freigabe?

Eine Freigabe erlaubt einer bestimmten Adresse, einen bestimmten Token bis zu einem Limit abzubuchen. Dafür begegnen Ihnen die Begriffe approve und allowance. Das Limit kann über dem Rechnungsbetrag liegen und nach dem Einkauf weitergelten. MetaMask erläutert solche Freigaben und ihren Widerruf.

Bei wiederholten Vorgängen kann diese Erlaubnis Arbeit sparen. Wird der Empfänger der Freigabe jedoch böswillig, steht mehr als der Einkaufspreis auf dem Spiel. Wenn Sie einen Transfer geplant haben und stattdessen eine Freigabe sehen, klären Sie deren Empfänger und Umfang vor der Bestätigung.

Bedeutet eine Signatur ohne Gas auch wenig Risiko?

Eine Signatur kann ohne sofortige Gaszahlung weitreichende Rechte vergeben. Bei Token mit ERC-2612 kann eine permit-Signatur eine Freigabe begründen, sobald jemand sie an die Blockchain übermittelt. Prüfen Sie den erlaubten Empfänger und Betrag.

Die Frist in der Nachricht begrenzt die Einreichung der Signatur. Sie beendet nicht von selbst eine bereits eingerichtete Freigabe. Die Bezeichnung auf der Website ändert an diesen Rechten nichts, auch wenn dort nur von Anmeldung oder Bezahlung die Rede ist.

Wann kann EIP-7702 mehrere Netzwerke betreffen?

EIP-7702 lässt ausgewählten Code im Kontext Ihres EVM-Kontos laufen. Böswilliger Code kann dessen Mittel kontrollieren. Ethereum warnt in seinen Hinweisen zu EIP-7702 ausdrücklich vor Phishing, das eine solche Delegierung erschleicht.

Eine Autorisierung mit chain_id=0 ist nicht an eine einzelne Blockchain gebunden. Sie kann in mehreren EVM-Netzwerken gelten, die EIP-7702 unterstützen. In jedem müssen die Autorisierungsbedingungen einschließlich des Kontozählers nonce sowie die Ausführungsbedingungen erfüllt sein. Das beschreibt die Spezifikation. Es betrifft diesen Mechanismus, nicht jede Signatur oder sämtliche Blockchains.

Was hilft vor der letzten Bestätigung?

Öffnen Sie die Rechnung aus einer bekannten Quelle und prüfen Sie die Domain. Vergleichen Sie die Angaben im Wallet mit der Rechnung. Halten Sie an, wenn statt des erwarteten Transfers eine unerklärte Freigabe oder Delegierung erscheint.

Wallet-Warnungen ergänzen diese Prüfung. MetaMask weist darauf hin, dass seine Sicherheitswarnungen nicht alle Gefahren erkennen. Auch eine Anfrage ohne Warnung müssen Sie verstehen, bevor Sie sie unterschreiben.