1. Ein Alptraum ohne ein Geräusch
Im vergangenen Jahr haben wir gesehen, wie viel zu viele Nutzer ihr gesamtes Portfolio auf einen Schlag — ohne Vorwarnung — verloren haben.
Noch schockierender?
Der Angreifer brauchte nicht einmal, dass Token gesendet wurden.
Alles, was es brauchte, war eine einzige Signatur — eine Transaktion mit Hex Data.
Es sah vielleicht aus wie eine einfache Aktion: ein NFT beanspruchen, an einem Airdrop teilnehmen, eine DApp verbinden oder sich auf einer Website anmelden.
Anscheinend harmlos:
0 ETH, an eine Smart-Contract-Adresse gesendet.
Doch die eigentliche Bedrohung war im Hex Data verborgen.
Dort kodieren Angreifer bösartige Funktionsaufrufe wie:
approve()increaseAllowance()transferFrom()setApprovalForAll()sweepToken()(benutzerdefinierte bösartige Contract-Funktionen)
Jede dieser Funktionen verschafft dem Angreifer die Kontrolle über Ihre Vermögenswerte.
Ist die Signatur erst gesetzt, ist es vorbei — sie können Ihre ERC‑20-Token oder NFTs nach Belieben abziehen, ohne weitere Zustimmung.
2. Hex Data: darf kein blinder Fleck sein
Jede On-Chain-Transaktion — selbst ohne Vermögensübertragung — ist im Grunde ein Smart-Contract-Aufruf.
Das sogenannte Hex Data ist lediglich ABI-kodiertes „Methode + Parameter“.
Beispiel:
0xa9059cbb0000000000000000000000008e8...0000000000000000000000000000000000000000000000000000000005f5e100
Die ersten 4 Bytes
0xa9059cbb: Funktionsselektor, in diesem Falltransfer(address,uint256)Der Rest: kodierte Parameter — Token-Adresse, Empfänger, Wert usw.
Für einen Angreifer ist das ein universaler Freifahrtschein, um beliebige Logik auszuführen.
Für einen unbedarften Nutzer ist es nur eine bedeutungslose Zeichenfolge — wie ein kryptischer Zauberspruch in einer Sprache, die sie nicht verstehen.
Und genau hier liegt die Falle: Blindes Signieren.
Was für Sie wie eine Transaktion ohne Wert aussieht…
…erscheint für den Angreifer als voller Zugriff auf Ihre Wallet.
3. Blindes Signieren, Hex-Signieren und die Signatur-Hölle
Diese Betrugsfälle weisen meist gemeinsame Merkmale auf:
💸 0 ETH oder Transaktion mit geringem Wert: um Ihre Skepsis zu entkräften.
🧬 Hex Data enthält bösartige Absichten: getarnt als einfache Aktion.
🧠 Empfänger ist ein Smart Contract: keine Person — sondern eine Falle.
⚠️ Signatur = Ausführung: ein Klick gibt ihnen vollständige Kontrolle.
Und was noch schlimmer ist:
Diese Angriffe sind vollautomatisiert.
Betrüger nutzen Skripte, um massenhaft bösartige Contracts zu deployen, Phishing-Websites aufzusetzen, Scam-Links zu generieren und diese zu verbreiten über:
Suchmaschinenanzeigen
Discord-Gruppen
Twitter/X-Antworten
Gefälschte Giveaways & NFT-Airdrops
Sie warten nur auf diesen einen Moment — wenn Sie klicken.
Eine Signatur, und Ihre Vermögenswerte gehören ihnen.
4. Wie OneKey sich wehrt
Sicherheit sollte niemals allein die Last der Nutzer tragen.
Bei OneKey bauen wir eine mehrschichtige Verteidigung auf, um diese versteckten Lücken zu schließen.
Das haben wir getan (und verbessern es ständig):
(1) Hex Data-Warnungen — die erste mentale Barriere
Wenn ein Nutzer die Option "Hex Data anzeigen" in einer Transaktion aktiviert,zeigt OneKey sofort eine klare Warnung an:
⚠️ Diese Transaktion enthält Hex Data und kann eine Interaktion mit einem Smart Contract oder Token-Freigaben beinhalten. Seien Sie vorsichtig.
Es ist keine Reue nach der Signatur.
Es ist eine vorbeugende Verteidigung bereits beim ersten Klick.
Wir wollen, dass Nutzer wachsam bleiben — denn Hex Data ist ein mächtiges Werkzeug, kann aber in den falschen Händen auch zur Waffe werden.
(2) Hex Data-Parsing + Warnungen vor hochriskanten Funktionen
Für alle EVM-Ketten bietet OneKey jetzt Echtzeit-ABI-Decodierung + Funktionsrisikoanalyse:
Zeigt deutlich die aufgerufene Methode an
Hebt hochriskantes Verhalten hervor bevor Sie signieren, einschließlich:
🧾 Zieladresse sichtbar — Ist dies ein bekannter sicherer Smart Contract oder eine verdächtige Adresse?
🕵️ Historische Interaktionen — Haben Sie zuvor mit dieser Adresse signiert?
💰 Token & Betrag — Was genau genehmigen oder senden Sie?
Damit signieren Nutzer nicht mehr blind — sondern mit echtem Kontext und vollem Bewusstsein.
(3) Hardware-Wallet-Bestätigung
Mit OneKey Pro sehen Sie keine rohen Hex-Strings.
Sie sehen echte, menschenlesbare Informationen direkt auf dem Bildschirm Ihres Geräts:
🔍 Funktionsname — Erkennen Sie, was Sie tatsächlich signieren.
💵 Token-Typ & Betrag — Erteilen Sie die Genehmigung für Ihr gesamtes Guthaben?
📍 Zieladresse — Ist diese vertraut, oder ein Warnsignal?
Jedes Feld soll Ihnen helfen, eine fundierte Entscheidung zu treffen,
nicht eine blinde Vermutung.
5. Abschließende Worte
Auf der Blockchain gibt es kein „Rückgängig“.
Jede Signatur ist endgültig.
Wir wissen, wie leicht man denken kann:
„Ich dachte, ich verbinde nur mein Wallet…“
Deshalb haben wir jede Ebene von OneKey mit echtem Nutzerschutz im Blick entwickelt.
Jede Signatur ist eine Frage des Vertrauens.
Und OneKey ist da, um die vertrauenswürdigste Verteidigung zu sein, die Sie haben.