Eine signierte Transaktion in DeFi wird automatisch durch einen Smart Contract ausgeführt: Nach der Aufnahme in einen Block kann die Übertragung nicht storniert oder zurückgerollt werden.
DeFi gibt Kontrolle, entfernt aber Storno- und Rückerstattungsverfahren
DeFi (decentralized finance) bezeichnet On-Chain-Dienste auf Smart Contracts, bei denen Swap, Einzahlung und Kredit durch eine Wallet-Transaktion ohne Betreiber und ohne Stornoregel ausgeführt werden. Ein Adressfehler, ein übermäßiges approve oder ein falscher Handelsparameter wird nach der Signatur in der Blockchain fixiert und nicht durch Support korrigiert.
Ein Smart Contract ist ein Programm in der Blockchain, das vorher festgelegte Regeln automatisch ausführt: Es nimmt eine Transaktion an, prüft Bedingungen und überträgt Token strikt nach Code, daher gilt eine Aktion nach Signatur und Aufnahme in einen Block als endgültig und eine „Stornierung“ innerhalb des Netzwerks existiert nicht.
Ziel des Materials: DeFi-Risiken in Gruppen aufteilen und jede Gruppe konkreten Operationen zuordnen: DEX-Swap, besicherter Kredit, Farming mit Token-Belohnungen, Cross-Chain-Bridge, On-Chain-Derivate.
Ein zentralisierter Dienst nutzt manchmal eine manuelle Transaktionssperre, Rückerstattungsregeln, Prüfung verdächtiger Auszahlungen und Support, der eine fehlerhafte Aktion vor der finalen Abbuchung stoppen kann. In DeFi führt der Smart Contract die signierte Transaktion nach Code aus und prüft die Absicht des Nutzers nicht.
Wenn Kapital keinen Teilverlust zulässt, erhöht die Unumkehrbarkeit einer On-Chain-Transaktion das Risiko: Ein Signaturfehler kann das gesamte Token-Guthaben abziehen oder über approve ein Ausgaberecht übertragen.
Technischer Verlust in DeFi entsteht durch Code und Infrastruktur: Smart-Contract-Bug, Oracle-Ausfall, Kompromittierung eines Admin-Schlüssels, Bridge-Angriff.
Technische DeFi-Risiken: Smart Contracts, Upgrades, Oracles, Bridges, Frontend und RPC
Technisches Risiko in DeFi ist das Risiko eines Mittelverlusts durch Logikfehler in Smart Contracts, Code-Upgrades, Oracles (Preisquellen), Bridges und Zugriffs-Infrastruktur (Webinterface und RPC-Provider), nicht durch eine Änderung des Marktpreises. Ein Smart-Contract-Exploit skaliert (ein Exploit ist die Ausnutzung eines Codefehlers), weil der Angreifer dieselbe Aktion wiederholt und Liquidität in einer Serie von Transaktionen abzieht, solange der Contract Operationen akzeptiert.
1) Smart-Contract-Schwachstellen
Ein Smart-Contract-Bug zeigt sich, wenn der Contract den Zustand einer Position oder den Kontostand in falscher Reihenfolge relativ zur Übertragung speichert, sodass der Contract Assets nach einem falschen Zustand überträgt.
- Reentrancy ist ein Fehler, bei dem ein Contract vor der Aktualisierung des Kontostands erneut aufgerufen werden kann, sodass eine Auszahlung mehrfach hintereinander erfolgt.
- Arithmetik- und Rundungsfehler in Berechnungen wiederholen sich bei einer Serie von Aufrufen und sammeln eine Abweichung an.
- Fehlende Rechteprüfung ermöglicht den Aufruf von Admin-Funktionen oder den Abzug von Mitteln über eine Funktion, die allen zugänglich ist.
- Token mit nicht standardisierten Übertragungs- oder Abbuchungsregeln können anders funktionieren, wodurch das Protokoll Kontostand oder Limits falsch berechnet.
Bei einer solchen Reihenfolge der Operationen können Mittel mehrfach hintereinander abgebucht werden, bevor der Kontostand aktualisiert wird.
2) Upgrades, Admin-Schlüssel und Zentralisierung der Steuerung
Ein upgradefähiges Protokoll kann Logik oder Parameter nach einer Einzahlung ändern, daher hängt das Risiko von Admin-Schlüsseln und Update-Regeln ab, nicht nur vom ursprünglichen Code.
- Ein einzelner Admin-Schlüssel ohne multisig (Mehrfachsignatur) erhöht das Risiko einer Governance-Kompromittierung (Leak oder Diebstahl dieses Schlüssels), wonach Protokollregeln einseitig geändert werden können.
- Das Fehlen eines timelock (Ausführungsverzögerung) macht Parameteränderungen für den Positionshalter sofort wirksam.
- Eine Änderung von Collateral-Faktoren, Gebühren oder der Oracle-Preisquelle ändert Liquidationsschwellen ohne Nutzerhandlung.
- Fehler gelangen häufiger in Releases und Upgrades, weil der Code eines bereits laufenden Protokolls mit aktiver Liquidität geändert wird.
Die Einzahlung bleibt in einem upgradefähigen Contract, in dem der Besitzer des Admin-Schlüssels die Funktionslogik des Protokolls ändern kann; ein Audit (Codeprüfung) der alten Version schützt nicht vor Fehlern im Update.
3) Komposabilität und Abhängigkeitsketten
Eine DeFi-Strategie ruft häufig mehrere Contracts und Dienste auf (sie führt Aktionen in verschiedenen Smart Contracts innerhalb einer Operation nacheinander aus), daher blockiert ein revert (Abbruch einer Transaktion wegen eines Fehlers) oder eine Pause eines externen Bestandteils Auszahlung und Positionsverwaltung im Stressmoment.
- Der Fehler kann in einem externen Contract liegen, der innerhalb der Protokolltransaktion aufgerufen wird.
- Bibliotheken und Integrationen erhöhen die Zahl der Adressen, von denen eine Einzahlung oder eine Auszahlung abhängt.
- Eine gemeinsame Komponente (Bibliothek, Router, Oracle) betrifft mehrere Protokolle gleichzeitig.
- Eine mehrstufige Strategie erhöht die Ausfallwahrscheinlichkeit, weil ein Fehler die gesamte Transaktion zurücksetzt.
Wenn eine Transaktion mehrere externe Contracts aufruft, storniert der revert eines beliebigen externen Contracts die gesamte Transaktion und blockiert die Auszahlung bis zur Wiederherstellung des externen Contracts.
4) Oracles und Preisverzerrungen
Ein Oracle übermittelt einen Preis an den Smart Contract, daher ändern verzerrte Preise Margin-Berechnungen, Liquidationsschwellen und finale Auszahlungen einer Position.
- Preismanipulation ist in dünnen Pools einfacher, weil ein kleiner Trade den Spot-Preis stärker verschiebt.
- Das Fehlen von TWAP (time-weighted average price) führt dazu, dass ein kurzer Spot-Preissprung im Aktualisierungsfenster für die Berechnung verwendet wird.
- Schwache Filterung anomaler Trades in der Preisquelle überträgt „Rauschen“ in die Berechnung von Collateral und Schuld.
- In Lending (wenn ein Kredit gegen Sicherheiten aufgenommen wird) und Derivaten verkauft der Contract automatisch Sicherheiten, wenn der Oracle-Preis als zu niedrig gilt, daher kann ein Preisfehler selbst ohne realen Marktrückgang zum Verkauf von Sicherheiten führen.
Wenn ein Oracle einen überhöhten oder zu niedrigen Preis übermittelt, berechnet der Lending- oder Derivate-Contract die Margin neu und kann Sicherheiten an einer falschen Schwelle liquidieren.
5) Cross-Chain-Bridges
Eine Bridge sperrt ein Asset in einem Netzwerk und gibt ein wrapped Asset in einem anderen Netzwerk aus, daher konzentriert sich das Risiko in Validatoren (Teilnehmern, die Transfers zwischen Netzwerken bestätigen), Governance-Schlüsseln und Hilfs-Contracts der Bridge.
- Ein komplexes Schema aus Validatoren und Mehrfachsignaturen erhöht die Zahl der Komponenten, deren Kompromittierung Ausgabe oder Auszahlung bricht.
- Die Konzentration von Liquidität macht die Bridge zu einem vorrangigen Angriffsziel, weil ein einzelner Vorfall ein großes Mittelvolumen betrifft.
- Eine neue Bridge hat weniger reale Prüfungen in nicht standardisierten Situationen, daher können unerwartete Ausfälle später auftreten.
- Ein Bridge-Ausfall blockiert Auszahlungen und unterbricht die Cross-Chain-Operationskette zwischen Netzwerken.
Bei einem Validator-Ausfall oder Leak von Governance-Schlüsseln bleibt der wrapped Token ohne Deckung und kann nicht in das Ausgangsnetzwerk zurückgeführt werden.
6) Frontends und RPC-Infrastruktur
Der Nutzer signiert Transaktionen über ein Webinterface, während Versand und Zustandsabfrage über einen RPC-Provider laufen (ein Dienst, über den Wallet und dApp-Website mit der Blockchain verbunden werden), daher ändern Interface-Manipulation oder RPC-Ausfall Signaturparameter und Positionsverwaltung.
- Interface-Manipulation setzt vor der Signatur eine andere Contract-Adresse oder andere Aufrufparameter ein.
- Ein RPC-Ausfall zeigt einen falschen Transaktionsstatus oder Kontostand, sodass der Nutzer die Aktion wiederholt und gas doppelt zahlt.
- Beschränkter Zugriff auf die dApp-Website entzieht den gewohnten Verwaltungskanal, obwohl die Contracts im Netzwerk bleiben.
- Die Prüfung von Contract-Adresse und Aufrufparametern in der Wallet vor der Signatur begrenzt das Risiko einer Manipulation.
Wenn das Interface die Contract-Adresse ersetzt, signiert die Wallet einen Aufruf eines anderen Contracts; der Smart Contract führt den Aufruf aus und bucht Token nach den signierten Daten ab.
Ein Verlust in DeFi wird häufig genau beim Ausstieg aus einer Position fixiert: gas-Gebühren, Slippage, price impact und ein fallender Preis des Belohnungs-Tokens reduzieren die endgültige Menge des Basis-Assets nach dem Schließen.
Warum DeFi-Trades beim Ausstieg verlustreich werden
Viele DeFi-Verluste werden nicht beim Einstieg, sondern beim Ausstieg fixiert: Netzwerkgebühr (gas), price impact (schlechterer Preis wegen unzureichender Pooltiefe), fallender Preis des Belohnungs-Tokens und schlechtere Liquidität können nach der Signatur nicht storniert werden.
DeFi-Operationen werden durch Smart Contracts ohne Betreiber ausgeführt, daher wird ein Signatur- oder Parameterfehler nicht durch Support korrigiert. In zentralisierten Diensten decken Limits, Verzögerungen, manuelle Prüfungen und Rückerstattungsverfahren einen Teil der operativen Risiken ab; in DeFi hängt das Ergebnis vom Protokollcode, der Marktliquidität und den vom Nutzer signierten Parametern ab.
Ein Verlust entsteht ohne Hack, wenn die Einstiegstransaktion bestätigt und die Position eröffnet ist, das Schließen der Position aber teures gas erfordert und wegen gesunkener Liquidität einen schlechteren Preis liefert.
- Einstieg in einen Pool mit hohem APY (annual percentage yield, jährliche prozentuale Rendite) ohne Berechnung von Netzwerkgebühren und Slippage beim Ausstieg.
- Sinkender APY nach dem Ende der Anreize und fallender Preis des Belohnungs-Tokens, der statt Gebühreneinnahmen ausgezahlt wurde.
- Steigende gas-Kosten im Ausstiegszeitpunkt und aktive approvals, die nach Abschluss der Strategie bestehen bleiben.
Szenario: Eine Einzahlung in ein Farm bringt einen Belohnungs-Token; anschließend fällt der Preis des Belohnungs-Tokens und die Poolliquidität sinkt. Der Swap des Belohnungs-Tokens in das Basis-Asset erzeugt großen price impact, und zwei Ausstiege erfordern zwei gas-Gebühren.
Der Ausstiegsverlust besteht aus konkreten Posten: gas-Gebühr für die Auszahlung, Slippage beim Swap in einem dünnen Pool und Preisrückgang des Belohnungs-Tokens zwischen Gutschrift und Verkauf.
Self-custody bedeutet, dass die Schlüssel beim Nutzer liegen, daher wird das Ergebnis durch signierte Transaktionen und signierte Nachrichten bestimmt, die nach Aufnahme in einen Block nicht storniert werden können.
Mittel gehen verloren, wenn ein aktives approve auf einer Adresse verbleibt und ein bösartiger Contract oder ein manipuliertes Interface das Token-Ausgaberecht ohne neue approve-Transaktion nutzt — mehr dazu siehe approval phishing in DeFi.
Ein Audit prüft die aktuelle Codeversion; ein Upgrade, Oracle-Wechsel und eine Bridge-Abhängigkeit können Liquidationsschwellen und Auszahlungsregeln nach der Einzahlung ändern.
Warum ein auditiertes Protokoll trotzdem Verlust verursachen kann
Ein Audit reduziert die Wahrscheinlichkeit offensichtlicher Codefehler, schließt aber Governance-Risiken (Upgrades und Schlüssel), externe Abhängigkeiten und Ausstiegsrisiken bei sinkender Pooltiefe nach Liquiditätsabfluss nicht aus.
Emission ist die Ausgabe neuer Token nach vorher festgelegten Regeln (Zeitplan, Volumen, Empfänger); Emission wird für Liquiditätsanreize und Belohnungen genutzt, doch ein steigendes Angebot drückt bei unveränderter Nachfrage auf den Tokenpreis.
- Upgrades und Governance ändern Positionsparameter nach dem Einstieg
- Eine Änderung des Collateral-Faktors und der Gebühren verändert die Widerstandsfähigkeit der Position ohne Nutzerhandlung.
- Timelock und multisig reduzieren das Risiko einer sofortigen Parameteränderung, schließen aber Updatefehler und Schlüsselkompromittierung nicht aus.
- Der Austausch der Oracle-Preisquelle und die Änderung von Collateral-Limits ändern Liquidationsschwellen und Puffergröße.
- Integrationen fügen einen externen Contract in die Risikokette ein
- Ein Protokoll kann sich auf eine Bridge, Bibliothek oder externe Liquiditätsquelle mit anderem Prüfungsniveau und anderem Ausfallmodell stützen.
- Der Ausfall einer externen Komponente blockiert die Strategie, selbst wenn das Hauptprotokoll Funktionen korrekt ausführt.
- Jeder externe Contract in der Operationskette erhöht die Chance, dass die Auszahlungstransaktion durch den revert dieses externen Contracts zurückgesetzt wird.
- Liquiditätsabfluss verschlechtert den Ausstiegspreis und verstärkt Liquidationen
- Bei fallender Pooltiefe verschiebt eine große Auszahlung den Preis stärker, daher erfolgt der Ausstieg mit Abschlag (zu einem Preis unter dem erwarteten Preis).
- Liquidationen im Lending verstärken sich, wenn der Oracle-Preis fällt und die Liquidität für den Verkauf der Sicherheiten dünner wird.
- Eine auf Emission basierende Rendite fällt zusammen mit dem Preis des Belohnungs-Tokens und dem Liquiditätsabfluss.
Bedrohungskarte, typische Angriffe und Kontrollsignale für Vorfälle: Bedrohungskarte, Fälle, Schutz und Checkliste“.
Wirtschaftlicher Verlust entsteht ohne Code-Bug: Emission des Belohnungs-Tokens senkt den Belohnungspreis, impermanent loss (Verlust durch Preisänderungen von Pool-Assets im Vergleich zum einfachen Halten) verändert die LP-Zusammensetzung, und eine Liquidationskaskade verkauft Sicherheiten.
Wirtschaftliche DeFi-Risiken: Rendite, Liquidität und Stressszenarien
Wirtschaftlicher Verlust entsteht bei korrekt funktionierenden Smart Contracts, wenn die Rendite fällt, der Belohnungs-Token günstiger wird und die Ausstiegsliquidität im selben Zeitraum abnimmt.
Wirtschaftliches Risiko in DeFi ist das Risiko eines Kapitalverlusts bei korrekt funktionierendem Code. Die Verlustquelle liegt im Anreizmodell (Belohnungsemission), in der Liquiditätstiefe und in Liquidationsmechanismen nach Oracle-Preis.
- Rendite durch Emission des Belohnungs-Tokens
- Hoher APY entsteht häufig durch Ausgabe neuer Belohnungs-Token, nicht durch Gebühreneinnahmen des Protokolls.
- Emission erhöht das Angebot des Belohnungs-Tokens; bei unveränderter Nachfrage fällt der Preis des Belohnungs-Tokens.
- Wenn der Preis des Belohnungs-Tokens schneller fällt als die Belohnung anfällt, wird das Ergebnis im Basis-Asset negativ.
- Gebühreneinnahmen sind stabiler, weil sie vom Operationsvolumen im Protokoll abhängen.
- Impermanent loss im AMM-Pool
- In einem AMM (automated market maker) wird ein Teil des gestiegenen Assets verkauft und das fallende Asset nachgekauft, daher kann das Ergebnis bei auseinanderlaufenden Preisen schlechter sein, als wenn die Assets einfach gehalten worden wären.
- Impermanent loss entsteht, wenn der Preis eines Assets im Paar vom zweiten Asset abweicht und die Position mit einer größeren Menge des fallenden Assets endet.
- Volatilität des Paars beschleunigt die Neuverteilung der Anteile im Pool und erhöht die Differenz zum passiven Halten.
- Paare mit geringer Liquidität erhöhen die Preisverschiebung bei jedem Trade und verstärken Ausstiegsverluste.
- Ausstieg aus einer Position bei dünner Liquidität
- Nach dem Ende der Anreize sinkt die Pooltiefe und verschlechtert den Ausführungspreis beim Ausstieg.
- Der Preis im Interface ist nicht der Ausführungspreis, weil die Ausführung von Pooltiefe und Trade-Größe im Moment der Blockaufnahme abhängt.
- Ein großes Volumen in einem dünnen Pool erzeugt spürbaren price impact und reduziert die Menge des erhaltenen Basis-Assets.
- Bei Netzüberlastung steigen gas-Gebühren und erhöhen die Kosten für das Schließen der Position.
- Liquidationen und Kaskaden im Lending
- Ein Kredit gegen Sicherheiten wird automatisch liquidiert, wenn die Risikoschwelle nach Oracle-Preis erreicht wird.
- Eine abrupte Preisbewegung überschreitet Risikoschwellen vieler Positionen und startet Massenliquidationen.
- Verkäufe von Sicherheiten drücken auf den Preis und erzeugen die nächste Liquidationswelle.
- Dünne Liquidität und ein instabiler Oracle-Preis beschleunigen die Liquidationskaskade.
- Stablecoins und depeg
- Die Bindung eines Stablecoins wird durch Reserven, Sicherheiten oder einen algorithmischen Mechanismus gestützt, der Ungleichgewichte aufkauft.
- Depeg (Verlust der Bindung eines Stablecoins an den Zielpreis, zum Beispiel an $1) entsteht, wenn Stablecoin-Verkäufe die Kapazität des Stabilisierungsmechanismus und die Tiefe der Rückkaufmärkte überschreiten.
- Hoher APY auf einen Stablecoin entsteht häufig durch Subventionen (Zahlungen aus Reserven oder Ausgabe von Token zur Anziehung von Liquidität), nicht durch reale Erträge, und fällt daher mit dem Risiko eines Poolausstiegs zusammen.
- Kapitalerhalt hängt vom Besicherungsmodell und der Markttiefe für den Ausstieg ab.
APY auf einen Stablecoin kompensiert depeg nicht, wenn der Stablecoin seine Bindung verliert und in einem dünnen Pool mit Abschlag verkauft wird.
- Netzwerkgebühren bei kleinen Beträgen
- Bei Netzüberlastung steigen gas-Kosten und erhöhen die Kosten für Einstieg und Ausstieg.
- Bei kleinem Kapital können zwei gas-Gebühren (Einstieg und Ausstieg) das gesamte Strategieergebnis aufzehren.
- Häufige Claims, Swaps und Rebalancing erhöhen die gesamten Gebühren.
- Strategien mit hoher Operationsfrequenz verlieren durch angesammelte Gebühren an Effizienz.
Ein regulatorischer Schlag kommt über den Zugang: Sperrung einer dApp-Website oder Abschaltung eines RPC-Providers kann das Schließen einer Position verhindern, während der Smart Contract Liquidationen fortsetzt.
Regulatorische Risiken: Status von Operationen und Zugriffsbeschränkungen auf Interfaces
Regulatorisches Risiko in DeFi entsteht außerhalb des Protokollcodes, wenn Beschränkungen dApp-Websites, API-Provider oder Zugriffs-Infrastruktur in dem Moment betreffen, in dem eine Position geschlossen oder Collateral nachgelegt werden muss.
Smart Contracts führen Operationen im Netzwerk weiter aus, doch die Positionsverwaltung erfolgt normalerweise über die dApp-Website und den RPC-Provider. Eine Sperrung dieser Kanäle beschränkt das Senden einer Transaktion und das Lesen des Positionszustands über das gewohnte Interface.
1) Unklarer Rechtsstatus von On-Chain-Operationen
Dieselbe On-Chain-Operation kann als Austausch, Kreditvergabe, Ausgabe eines Derivats oder Finanzdienstleistung eingestuft werden. Unterschiedliche Einstufungen in verschiedenen Jurisdiktionen ändern Anforderungen an Zugang und Reporting, daher wird rechtliche Unsicherheit zu einem operativen Risiko für die Position.
2) Beschränkungen von Interfaces und Zugriffs-Infrastruktur
Der Zugriff auf Smart Contracts erfolgt normalerweise über Websites, APIs und RPC-Provider. Die Beschränkung dieser Zugriffspunkte verändert die Art der Positionsverwaltung, selbst wenn der Contract weiter funktioniert.
Szenario: Eine Lending-Position wurde vorab eröffnet; anschließend wird das Webinterface regional blockiert oder der RPC-Provider gibt Fehler zurück. Der Smart Contract berechnet weiter den Oracle-Preis und führt Liquidationen aus, doch das Schließen der Position über das gewohnte Interface wird unmöglich.
3) Steuern, Reporting und operativer Aufwand
Eine DeFi-Strategie erzeugt einen Strom von Operationen: Swaps, Gutschriften, Claims, Rebalancing und Liquidationen. Eine große Zahl von Transaktionen erschwert die Erfassung von Gebühren und Ausführungspreisen und erhöht das Risiko von Fehlern im Reporting.
Nutzerverlust entsteht durch die Signatur: falsches Netzwerk, falsche Adresse, unlimited approve und breite slippage (zulässige Verschlechterung des Ausführungspreises) verwandeln eine Transaktion in eine irreversible Token-Abbuchung.
Nutzerrisiken: Adresse, Netzwerk, approve, Nachrichtensignaturen und Swap-Parameter
Die meisten irreversiblen Verluste in DeFi hängen mit der Signatur zusammen: falsches Netzwerk, falsche Adresse, übermäßiges approve oder breite slippage fixieren eine Operation in der Blockchain ohne Stornoverfahren.
Eine Wallet in DeFi ist ein Werkzeug für kryptografische Signaturen. Eine Transaktionssignatur startet Übertragung, Swap, Einzahlung oder Auszahlung; eine Nachrichtensignatur kann ein Token-Ausgaberecht erteilen oder Berechtigungen ohne separate approve-Transaktion ändern.
1) Fehler bei Netzwerk, Adresse und Contract
Prüfungen vor dem Senden einer Transaktion
- 🌐 Netzwerkprüfung: Eine Signatur in einem anderen Netzwerk sendet Token in ein anderes Register; die Empfängeradresse in einem anderen Netzwerk gehört möglicherweise nicht dem Absender.
- 🏷️ Adressprüfung: Ein Fehler in der Empfängeradresse überträgt Assets an eine fremde Adresse; ein Smart Contract enthält kein Rückerstattungsverfahren für eine fehlerhafte Übertragung.
- 🧾 Contract-Prüfung: Die Ersetzung der Contract-Adresse ändert den approve-Empfänger oder die Swap-Logik vor der Signatur.
- 🧪 Testoperation: Eine minimale Transaktion bestätigt Netzwerk, Contract-Adresse und Swap-Route vor dem Senden eines großen Volumens.
2) Approve und Abbuchungsrechte
Kontrolle der Zugriffsrechte auf Token
- 🎚️ Begrenztes Limit: unlimited approve gibt das Recht, das gesamte Token-Guthaben auszugeben; Kompromittierung des Contracts oder Interfaces verwandelt das Ausgaberecht in eine tatsächliche Abbuchung.
- 👤 Spender-Prüfung: Die Adresse des Berechtigungsempfängers (spender) muss mit dem Protokoll-Contract übereinstimmen, sonst geht die Berechtigung an eine andere Adresse.
- 🧰 Wallet-Trennung: Eine separate Speicheradresse reduziert die Menge an Token auf der Arbeitsadresse, von der approvals erteilt werden.
- 🧹 Revoke: Das Zurückziehen alter approvals schließt das Ausgaberecht nach Abschluss der Operation.
3) Nachrichtensignaturen und versteckte Rechte
Filter vor der Bestätigung einer Signatur
- ✍️ Bewusste Signatur: Eine Nachrichtensignatur kann eine spätere Abbuchungsautorisierung ohne separates approve erstellen, wenn das Protokoll die Nachricht als Berechtigung verwendet.
- 🎁 Vorsicht bei „Claims“: Eine Phishing-Seite legt häufig eine Nachrichtensignatur vor, die Token-Ausgaberechte erteilt.
- 📩 Private Nachrichten ignorieren: Ein „Support“-Account in Direktnachrichten führt häufig auf eine gefälschte dApp-Domain zur Signatur.
- 🔗 Feste Quellen: Der Aufruf einer dApp über eine gespeicherte Adresse reduziert das Risiko von Domain- und Contract-Adress-Manipulation.
4) MEV, Sandwich-Angriffe und Swap-Ausführung
Kontrolle der Handelsparameter
- 📏 Strenge slippage: Große slippage erweitert die Spanne des Ausführungspreises und erleichtert einen Sandwich-Angriff.
- 🧱 Volumen aufteilen: Ein großer Swap in einem dünnen Pool erhöht price impact; Aufteilung reduziert den price impact jedes Swaps.
- ⏳ Mempool berücksichtigen: MEV (maximal extractable value — Gewinnextraktion durch Änderung der Transaktionsreihenfolge in einem Block) entsteht, wenn ein Bot die Transaktionsreihenfolge ändert und die Differenz des Ausführungspreises vereinnahmt.
- 🧾 Minimum received: Der Parameter fixiert das minimale Swap-Ergebnis und begrenzt eine Verschlechterung der Ausführung.
Ein Sandwich-Angriff nutzt breite slippage: Der Bot kauft vor dem Swap, hebt den Preis, verkauft nach dem Swap und nimmt die Differenz im Basis-Asset mit.
5) Bösartige Token und Interface-Fallen
Filter vor dem Kauf eines Assets
- 🧬 Contract-Abgleich: Ein gleicher Tokenname garantiert nicht denselben Contract; ein Swap kann einen Token mit anderer Contract-Adresse kaufen.
- 📉 Liquiditätsbewertung: Geringe Pooltiefe verschlechtert den Verkaufspreis und erhöht price impact beim Ausstieg.
- 🧾 Verkaufsbedingungen prüfen: Eine Verkaufssteuer oder ein Verkaufsverbot ändern den tatsächlichen Ausstiegspreis und können den Verkauf blockieren.
- 🚪 Ausstieg prüfen: Ein Testverkauf bestätigt, dass der Token verkauft werden kann und dass der Contract keine Sperre oder Steuer enthält, die den Ausstieg verlustreich macht.
Wiederkehrende Fehler führen ohne Hack zu Verlusten: unlimited approve, eine Adresse für Speicherung und Operationen, Einstieg nach APY aus Emission, Swap in einem dünnen Pool.
Typische DeFi-Fehler, die sich am häufigsten wiederholen
Wiederkehrende Ursachen für Verluste in DeFi hängen mit drei Handlungen zusammen: Vertrauen in das Webinterface ohne Adressprüfung, Erteilung von unlimited approve und Einstieg in eine Strategie ohne Berechnung des Ausstiegs nach Gebühren und price impact.
- Unlimited approve aus Bequemlichkeit
- Eine Berechtigung zur unbegrenzten Abbuchung bleibt nach Abschluss der Operation aktiv.
- Kompromittierung eines Contracts oder Interfaces nutzt das aktive approve und bucht Token ohne neue Signatur ab.
- Ein Limit für die Operation und anschließendes revoke schließen das Ausgaberecht nach Abschluss der Strategie.
- Einstieg nach hohem APY ohne Prüfung der Ertragsquelle
- APY kann durch Emission des Belohnungs-Tokens entstehen, nicht durch Protokollgebühren.
- Der Preis des Belohnungs-Tokens kann schneller fallen, als die Belohnung anfällt.
- Die Berechnung des Ergebnisses im Basis-Asset nach gas und price impact zeigt das Strategieergebnis ohne Schaufenster-APY.
- Eine Wallet für Speicherung und aktive Operationen
- Phishing oder eine bösartige Signatur öffnen Zugriff auf das gesamte Guthaben der Arbeitsadresse.
- Fehlende Wallet-Trennung erhöht den Betrag, der über approvals abgebucht werden kann.
- Eine separate Speicheradresse reduziert die Summe auf der Adresse, die Operationen signiert und approvals erteilt.
- Swap in einem dünnen Pool mit breiter slippage
- Breite slippage erlaubt die Ausführung eines Swaps zu einem um den festgelegten Prozentwert verschlechterten Preis und erleichtert einen Sandwich-Angriff.
- Netzüberlastung und sinkende Liquidität erhöhen die Verzögerung bis zur Blockaufnahme und verschlechtern den Ausführungspreis.
- Volumenaufteilung und slippage-Begrenzung reduzieren Verluste durch price impact und MEV.
Verhaltensbedingter Verlust wird durch eine Serie von Signaturen fixiert: FOMO beschleunigt den Einstieg, wiederholte Swaps erhöhen das gesamte gas, und Averaging erhöht die Exposure bei fallender Liquidität.
Verhaltensrisiken: FOMO, Transaktionsserien und steigende Gebühren
FOMO und Einstieg in überhitzte Rendite
FOMO zwingt zum Einstieg in eine Strategie nach Preisanstieg und APY-Spitze, wenn die Ausstiegsbedingungen bereits schlechter werden.
- FOMO (fear of missing out) löst den Einstieg nach Preisanstieg und Schaufenster-Rendite aus.
- APY bleibt hoch, solange Emission des Belohnungs-Tokens und Liquiditätszufluss laufen.
- Nach Rückgang der Anreize fließt Liquidität ab, und price impact beim Ausstieg steigt.
- Der Ausstieg fixiert einen Verlust, wenn gas und schlechtere Preisstellung die Belohnung aufzehren.
FOMO-Einstieg erfolgt häufig in dem Moment, in dem das Ausstiegsrisiko bereits höher ist als die potenzielle Rendite.
Illusion von Kontrolle bei der Signatur
Eine Signatur erzeugt ein Gefühl von Kontrolle, aber der Smart Contract führt Parameter wörtlich aus, ohne die Absicht des Nutzers zu prüfen.
- Das Interface kann Contract-Adresse oder Operationsparameter vor der Signatur ersetzen.
- Approve und slippage werden ohne Abgleich von spender und minimum received bestätigt.
- Der Smart Contract führt signierte Parameter ohne Möglichkeit zur Stornierung aus.
- Ein Signaturfehler wird zu einer Token-Abbuchung oder einem Tausch zu schlechterem Preis.
Die Signatur fixiert die Entscheidung endgültig: Ein falscher Parameter wird sofort zum finanziellen Ergebnis.
Averaging einer verlustreichen Strategie
Averaging erhöht Kapital in einer Strategie, deren Grundbedingungen bereits schlechter werden.
- Averaging erhöht die Exposure (den Kapitalanteil, der von einem Szenario abhängt) in einer Strategie mit Ertrag aus Emission des Belohnungs-Tokens.
- Der fallende Preis des Belohnungs-Tokens senkt den Endwert der Gutschriften.
- Eine steigende Zahl von Operationen erhöht das gesamte gas.
- Jede neue Transaktion fixiert Verlust unter Bedingungen dünner Liquidität.
Eine Operationsserie verstärkt den Verlust, wenn die Grundökonomie der Strategie bereits nicht mehr aufgeht.
DeFi ist ungeeignet bei Null-Toleranz für Signaturfehler: Ein falsches Netzwerk oder approve ohne Limit kann das gesamte Token-Guthaben ohne Rückerstattung abziehen.
Kriterien für die Wahl zwischen DeFi und Infrastruktur mit Storno und Support
Ein Fehler bei Netzwerk, Contract-Adresse, approve oder slippage in DeFi wird durch die Signatur fixiert und nicht durch das Protokoll storniert, daher übersteigt der Fehlerpreis oft den verpassten APY.
Stop-Faktoren
- 🧨 Teilweiser Kapitalverlust ist für die Aufgabe nicht akzeptabel.
- 🧾 Stornoregeln und ein Verfahren zur Rückgabe von Mitteln sind erforderlich.
- ⏱️ Es gibt keine Zeit, approvals, Contract-Adressen und Signaturparameter regelmäßig zu prüfen.
- 🎯 Ein exakter Ausführungspreis ist erforderlich, während price impact und MEV das Handelsergebnis verändern.
- 🔐 Keine Wallet-Trennung, hohes Risiko von Phishing und bösartiger Signatur.
- ⛽ Das Volumen ist klein relativ zu gas, Gebühren fressen das Ergebnis auf.
Bedingungen, unter denen DeFi normalerweise zulässig ist
- 📏 Positionslimit und maximal zulässiger Verlust sind festgelegt.
- 🧰 Die Speicheradresse ist von der Arbeitsadresse mit begrenztem Guthaben getrennt.
- 🎚️ Approve wird mit Limit erteilt und nach Abschluss zurückgezogen.
- 🚪 Es gibt eine Ausstiegsbedingung bei fallender Liquidität und fallender Rendite.
Infrastruktur mit Support reduziert den Schaden eines operativen Fehlers durch Limits, Auszahlungsverzögerungen und Rückerstattungsregeln; DeFi überführt einen operativen Fehler in eine irreversible On-Chain-Transaktion.
DeFi bricht Szenarien mit obligatorischer Stornierung und Wiederherstellung: Verlust der Seed-Phrase, Interface-Manipulation oder Netzwerkfehler werden nicht durch Supportregeln kompensiert.
Szenarien, in denen DeFi das operative Risiko erhöht
DeFi erhöht das operative Risiko, wenn Stornierung von Operationen, Wiederherstellung des Zugangs und vorhersehbare Ausführung ohne manuelle Prüfung jedes Signaturparameters erforderlich sind.
Großes Kapital bei niedriger Risikotoleranz
Bei großem Kapital macht das Fehlen von Storno und Rückerstattung einen einzelnen Signaturfehler kritisch für das gesamte Ergebnis.
- Konzentration von Mitteln in einem Protokoll oder Netzwerk erhöht die Größe des potenziellen Schadens.
- Kompromittierung von Schlüssel, Gerät oder Interface betrifft das gesamte Guthaben der Arbeitsadresse.
- Eine falsche Transaktion überträgt Assets an eine fremde Adresse ohne Rückgabemechanismus.
Bei großer Summe kann eine falsche Empfängeradresse oder unlimited approve zu einem Verlust führen, der dem gesamten Kapital auf der Arbeitsadresse entspricht.
Geschwindigkeit und Präzision der Ausführung sind kritisch
In DeFi hängt das Ergebnis vom Mempool, der Pooltiefe und MEV-Aktivität ab, daher kann der Ausführungspreis vom Interface-Preis abweichen.
- Slippage und Netzüberlastung verschlechtern den Ausführungspreis.
- Großes Volumen in einem dünnen Pool verstärkt price impact.
- Die Verzögerung bis zur Aufnahme der Transaktion ändert den Poolzustand zwischen Signatur und Ausführung.
Wenn ein Trade festen Preis und minimale Verzögerung erfordert, können Mempool, price impact und MEV den Ausführungspreis gegenüber dem Bildschirmpreis verändern.
Einfache Buchhaltung und transparentes Reporting sind erforderlich
Eine aktive DeFi-Strategie erzeugt Dutzende Transaktionen und separate Netzwerkgebühren pro Operation, daher erfordert die Buchhaltung die Analyse jeder Transaktion.
- Claims, Rebalancing und Teilausführungen erschweren die Berechnung von Kostenbasis und Ergebnis.
- Mehrere Netzwerke und Bridges fügen separate Gebühren und separate Buchungsereignisse hinzu.
- Ein Fehler bei der Erfassung von gas-Gebühren und Ausführungspreisen verzerrt Steuer- und Reporting-Ergebnisse.
Wenn eine Strategie Dutzende Transaktionen erzeugt, wird Reporting zur Erfassung jeder gas-Gebühr und jedes Ausführungspreises nach Transaktionshash.
Unzureichendes Niveau operativer Sicherheit
In DeFi hängt Sicherheit von Schlüsseln und Signaturen des Nutzers ab, daher wird schwacher Schutz von Gerät und Browser zu direktem Mittelverlust.
- Öffentliche Geräte und Erweiterungen erhöhen das Risiko von Interface-Manipulation und Diebstahl der Wallet-Session.
- Online-Speicherung der Seed-Phrase erleichtert die Kompromittierung von Schlüsseln.
- Fehlende Wallet-Trennung erhöht die Summe, die über approvals verfügbar ist.
Wenn Gerät oder Browser kompromittiert sind, kann ein Angreifer die Wallet dazu bringen, approve oder Übertragung zu signieren und Token von der Arbeitsadresse abzubuchen.
Support und Wiederherstellung des Zugangs sind erforderlich
Bei self-custody bedeutet der Verlust der Seed-Phrase den Verlust der Kontrolle über die Adresse, weil das Protokoll Schlüssel nicht wiederherstellen und Eigentum nicht zurücksetzen kann.
- Ein Fehler bei der Schlüsselaufbewahrung wird nicht durch einen Dienst kompensiert.
- Ohne Backup-Schemata ist vollständiger Zugangsverlust möglich.
- Übertragung des Zugangs und Vererbung erfordern ein separates rechtliches und technisches Schema.
Wenn die Seed-Phrase verloren ist, geht der Zugang zur Adresse dauerhaft verloren, weil die Blockchain kein Verfahren zur Schlüsselwiederherstellung enthält.
Volumen steht nicht im Verhältnis zu Netzwerkgebühren
Bei hohem gas verliert kleines Kapital seinen Sinn, weil Gebühren für Einstieg, Verwaltung und Ausstieg einen spürbaren Anteil des Betrags einnehmen.
- Gebühren überdecken das Ergebnis bei häufigen Aktionen.
- Ein Signaturfehler neutralisiert den Effekt der Strategie.
- Eine steigende Zahl von Operationen erhöht relative Kosten.
Wenn die Einzahlung klein ist, können zwei gas-Gebühren (Einstieg und Ausstieg) den gesamten Ertrag aufzehren, selbst wenn APY im Interface hoch aussieht.
Verlust in DeFi ist an Operationen gebunden: Ein AMM-Swap leidet unter MEV und price impact, Lending unter Oracle und Liquidationen, eine Bridge unter Validatoren.
Wo DeFi am häufigsten zur Verlustquelle wird: Operationen und Stop-Faktoren
DeFi-Risiko zeigt sich in konkreten Operationen: Ein AMM-Swap verschlechtert den Ausführungspreis bei dünner Liquidität, Lending startet Liquidationen nach Oracle-Preis, Farming hängt von Belohnungsemission und Ausstiegsliquidität ab, und eine Bridge blockiert Auszahlungen bei Validator-Ausfall.
DEX-Tausch in AMM-Pools
Ein AMM bildet den Preis aus dem Verhältnis der Assets im Pool, daher erhöht ein wachsender Swap-Betrag relativ zur Pooltiefe den price impact und verschlechtert den Ausführungspreis.
✅ Vorteile
- Self-custody ohne Verwahrung durch einen Custodian.
- Tausch ohne Account und ohne KYC.
- Zugang zu Token ohne Listing an einer Börse.
❌ Nachteile
- MEV und Sandwich-Angriffe bei mittleren und großen Volumina.
- Schlechterer Ausführungspreis in flachen Pools.
- Risiko eines gefälschten Token-Contracts und einer gefälschten Pooladresse.
Lending und Kredite gegen Sicherheiten
Lending erzeugt Liquidationsrisiko, weil ein Preisrückgang der Sicherheiten nach Oracle eine Zwangsveräußerung der Sicherheiten über Marktliquidität im Stressmoment auslöst.
✅ Vorteile
- Zinsertrag auf liquide Assets.
- Kredit gegen Sicherheiten ohne Verkauf des Basis-Assets.
- Der Satz hängt von der Nachfrage nach Kreditaufnahme ab.
❌ Nachteile
- Automatische Liquidationen bei starker Preisbewegung.
- Abhängigkeit von der Korrektheit des Oracle-Preises.
- Risiko der Änderung von Governance-Parametern (Gebühren, Schwellen, Limits).
Überschüssige Sicherheiten reduzieren die Liquidationswahrscheinlichkeit, weil sie die Distanz zur Risikoschwelle nach Oracle-Preis erhöhen.
Yield farming und Strategien mit hohem APY
Yield farming kombiniert Gebühreneinnahmen und Token-Anreize, daher hängt das Ergebnis vom Preis des Belohnungs-Tokens, der Emissionsgeschwindigkeit und der Tiefe der Ausstiegsliquidität ab.
✅ Vorteile
- Ertrag aus Gebühren und Token-Anreizen.
- Einstieg und Ausstieg ohne Verwahrung auf einer Börse.
- Zugang zu neuen Ertragsmodellen zum Start eines Protokolls.
❌ Nachteile
- APY-Rückgang nach Ende der Anreize.
- Impermanent loss bei volatilen Paaren.
- Rug pull in einem jungen Projekt, wenn Organisatoren Liquidität abziehen.
Was Farming im Ertragsmodell bricht
- Abfluss von LPs (Liquiditätsanbietern) und sinkende Pooltiefe.
- Preisrückgang des Belohnungs-Tokens schneller als die Gutschriften.
- Gas und Rebalancing, die das Ergebnis im Basis-Asset reduzieren.
- Bug oder Pause eines externen Contracts in der Strategiekette.
Bridges und Cross-Chain-Operationen
Eine Cross-Chain-Bridge konzentriert Risiko in Validatoren und Governance-Schlüsseln, daher blockieren Kompromittierung oder Ausfall der Bridge Asset-Auszahlungen und brechen die Operationskette zwischen Netzwerken.
✅ Vorteile
- Zugang zu Liquidität verschiedener Netzwerke.
- Netzwerkauswahl nach Gebühren und Geschwindigkeit.
- Kapitalverteilung zwischen Ökosystemen.
❌ Nachteile
- Konzentration von Liquidität an einem Punkt.
- Komplexes Sicherheitsmodell und Abhängigkeit von Validatoren.
- Höheres Risiko operativer Fehler bei Transfers zwischen Netzwerken.
On-Chain-Derivate und Handel mit Hebel
In On-Chain-Derivaten wird die Position nach Oracle-Preis berechnet, und der Einsatz von Hebel lässt nur einen kleinen Sicherheitspuffer, daher führt jeder Preis-, Liquiditäts- oder Ausführungsfehler schneller zur Zwangsschließung der Position.
✅ Vorteile
- Hedging ohne Verwahrung durch einen Custodian.
- Zugang zu Derivaten über einen Smart Contract.
- Kompatibilität mit On-Chain-Strategien.
❌ Nachteile
- Liquidationskaskaden bei starker Volatilität.
- Abhängigkeit des Ergebnisses vom Oracle-Preis.
- Addition von Marktrisiko und Protokollrisiko.
Ausstiegssignale in DeFi werden durch Parameter gemessen: fallende Pooltiefe, steigendes gas, sinkender APY, fallender Belohnungs-Token, Contract-Upgrade, Interface-Ausfall.
Signale, dass eine DeFi-Position geschlossen werden sollte
- APY steigt ohne Wachstum von Gebühren und Volumen
- APY steigt ohne Wachstum der Protokollgebühren und ohne Wachstum des Operationsvolumens.
- Die APY-Quelle verschiebt sich in Emission oder temporäre Anreize.
- Der Preis des Belohnungs-Tokens fällt schneller als die gutgeschriebene Belohnung.
- APY hängt von Emission ab, wenn Swap-Volumen und Gebühreneinnahmen nicht wachsen.
- Der Ausstiegspreis verschlechtert sich durch fallende Liquidität
- Die Pooltiefe ist niedriger als zum Einstiegszeitpunkt.
- Die Auszahlung erfordert wegen price impact einen Abschlag gegenüber dem erwarteten Preis.
- In Stressphasen steigt gas und erhöht die Ausstiegskosten.
- Price impact ist gestiegen, wenn dasselbe Auszahlungsvolumen aus dem Pool weniger Basis-Asset ergibt als beim Einstieg.
- Ein Upgrade ändert Protokollparameter
- Ein Upgrade erscheint ohne ausreichende Zeit zur Prüfung der neuen Bedingungen.
- Gebühren, Collateral-Faktoren oder Liquidationsparameter ändern sich.
- Neue Integrationen, Bridges oder externe Abhängigkeiten werden hinzugefügt.
- Das Upgrade-Risiko steigt, wenn die Contract-Implementierung über einen Admin-Schlüssel ohne timelock geändert wird.
- Der Zugriff auf die Positionsverwaltung wird instabil
- Das Interface arbeitet mit Fehlern, und RPC zeigt falschen Transaktionsstatus.
- Regionale Zugriffsbeschränkung oder Netzüberlastung stören das Schließen der Position.
- Ein operativer Signaturfehler wird wegen Zeitdruck wahrscheinlicher.
- Das Risiko eines Signaturfehlers steigt, wenn die Position über eine neue Domain oder über instabiles RPC geschlossen wird.
Wenn Poolliquidität fällt, Rendite sinkt und der Interface-Zugriff gleichzeitig schlechter wird, wird das Schließen der Position teurer bei gas und schlechter beim Ausführungspreis.
DeFi führt Operationen über Smart Contract und Wallet-Signatur aus; CEX führt Operationen auf Börsenkonten aus und kann Limits, Auszahlungsverzögerungen und Rückerstattungsregeln anwenden.
DeFi vs CEX: wo Risiko niedriger ist und wo es umverteilt wird
In DeFi wird das Handelsergebnis vollständig durch die signierten Parameter bestimmt und kann nicht storniert werden, während eine CEX-Plattform manchmal eingreifen und eine fehlerhafte Auszahlung stoppen kann.
DeFi führt einen Trade strikt nach den Signaturparametern in der Wallet aus, während CEX über ein internes Orderbuch und Bilanzführung ausführt. In DeFi ist eine fehlerhafte Transaktion nach Aufnahme in einen Block irreversibel, während CEX eine Auszahlung manchmal stoppen oder Mittel vor endgültiger Abbuchung zurückgeben kann.
| Kriterium | CEX | DeFi |
|---|---|---|
| Asset-Verwahrung | Schlüssel werden von der Plattform kontrolliert (custodial) | Schlüssel liegen beim Nutzer (self-custody) |
| Fehlerkorrektur | Regulierte Rückerstattungsverfahren sind manchmal möglich | Transaktionen sind nach Aufnahme in einen Block irreversibel |
| Hack-Risiko | Seltene, aber große zentralisierte Vorfälle | Vorfälle auf Ebene einzelner Protokolle und Interfaces |
| Trade-Ausführung | Preis hängt vom Orderbuch und den Börsenregeln ab | Preis hängt von Pooltiefe, price impact und MEV ab |
| Zugang und Compliance | KYC/AML und regulatorische Verfahren | Ohne Account, aber mit Risiko der Sperrung von Interfaces und RPC |
| Transparenz | Plattformregeln und Betreiber-Reporting | Öffentliche Transaktionen und prüfbarer Code bei verifizierten Adressen |
✅ Wo DeFi einen Vorteil bietet
- Kontrolle über Assets ohne custodial-Verwahrung.
- Zugang zu On-Chain-Instrumenten ohne Börsenlisting.
- Automatisierung der Strategie durch Smart Contracts bei Prüfung von Adressen und Signaturparametern.
❌ Wo CEX normalerweise robuster ist
- Große Operationen, bei denen minimale Verzögerung und exakter Preis erforderlich sind.
- Szenarien, in denen Support, Zugangswiederherstellung und Regeln kritisch sind.
- Szenarien, in denen die Stornierung einer fehlerhaften Auszahlung vor finaler Abbuchung erforderlich ist.
Vergleich von Zugriffsmodellen und Ausführungsrisiken: DEX vs CEX: Unterschiede bei Verwahrung, Ausführung und Zugriff.
Eine Prüfung vor der Signatur senkt das Risiko, Token an eine falsche Adresse zu übertragen und approve an einen falschen spender zu erteilen: Abgleich von Netzwerk und Contract-Adresse, spender-Prüfung in approve, Begrenzung von slippage und minimum received.
Kontrollpunkte vor dem Einstieg in DeFi: Signaturparameter und Ausführungslimits
Die Prüfung vor der Signatur reduziert die Wahrscheinlichkeit eines falschen Netzwerks, einer ersetzten Contract-Adresse, eines übermäßigen approve und zu breiter slippage, die einen schlechten Ausführungspreis fixiert.
Basisprüfung der Signaturparameter
- Abgleich der Contract-Adresse und des zur Operation passenden Netzwerks.
- Bewertung der Liquiditätstiefe: Großes Volumen in einem dünnen Pool erhöht price impact.
- Begrenzung von slippage und Abgleich von minimum received.
- Prüfung aktiver approvals und des Abbuchungslimits.
- Testoperation mit minimalem Volumen bei einer neuen Route.
Erweiterte Prüfung für Einzahlungen und Farming
- Bestimmung der Ertragsquelle: Gebühren, Kreditzinsen oder Belohnungsemission.
- Prüfung von Upgrades, Admin-Schlüsseln, multisig und timelock.
- Bewertung der Verteilung des Belohnungs-Tokens und des Konzentrationsrisikos bei großen Haltern.
- Bewertung des Bridge- und Stablecoin-Risikos in einer Cross-Chain-Strategie, weil Bridge-Ausfall oder Verlust der Stablecoin-Bindung den Ausstieg blockieren können.
- Abgleich von gas und price impact mit dem erwarteten Gewinn im Basis-Asset.
Anzeichen erhöhten Risikos
- Neues Protokoll ohne Nutzungshistorie mit Versprechen von „Garantien“.
- Zweistellige Rendite in Stablecoins ohne Erklärung der Quelle (Gebühren oder Kreditzinsen).
- Belohnungs-Token mit hoher Emission und ohne nachhaltige Nachfrage.
- Sicherheitsbeschreibung mit Slogans ohne Angabe von timelock, multisig, Oracles und Zugriffsmodell.
- Eine Signatur, die Zugriff verlangt, der nicht zur Operation passt (zum Beispiel Token-Abbuchung statt Belohnungs-Claim).
Reduzierung von Verlusten in DeFi wird durch Begrenzungen erreicht: weniger Mittel auf der Arbeitsadresse, approve nur für den Operationsbetrag, weniger Bridges und weniger externe Contracts in der Route.
Methoden zur Risikoreduzierung bei der Nutzung von DeFi
1) Trennung von Wallets nach Rollen
- Speicheradresse. Auf der Speicheradresse gibt es keine aktiven approvals und keine regelmäßigen Interaktionen mit dApps.
- Arbeitsadresse. Auf der Arbeitsadresse befindet sich der Betrag, der dem Risiko ausgesetzt werden darf, und dort werden Operationen signiert.
- Testadresse. Auf der Testadresse werden neue Protokolle und Routen mit Mindestbeträgen geprüft.
2) Verwaltung von Abbuchungsrechten
- Approve wird für ein konkretes Operationsvolumen erteilt, damit der Contract nicht das gesamte Guthaben abbuchen darf.
- Nicht genutzte approvals werden nach Abschluss der Strategie zurückgezogen, um das Ausgaberecht zu schließen.
- Approve für einen ungeprüften Contract erhöht die Verlustgröße, wenn Contract oder Interface kompromittiert werden.
Szenarien von approval phishing und Wege zur Nutzung aktiver approvals: „Approval phishing in DeFi: versteckte Berechtigungen, die Token-Diebstahl ermöglichen“.
3) Ausführung von Trades unter Berücksichtigung von MEV und Liquidität
- Slippage begrenzt die Spanne des Ausführungspreises und reduziert den Effekt von Sandwich-Angriffen.
- Volumenaufteilung reduziert price impact in einem dünnen Pool.
- Eine Swap-Route über mehrere Pools erhöht die Zahl der Smart Contracts; der revert eines Contracts storniert die Transaktion und verbraucht gas.
4) Begrenzung von Konzentration und Komplexität
- Konzentration von Kapital in einem Protokoll erhöht die Summe, die von einer Schwachstelle oder einem Upgrade abhängt.
- Eine Bridge oder ein Stablecoin sollte nicht der einzige Punkt der Strategie sein, wenn depeg oder Bridge-Ausfall den Ausstieg blockiert.
- Die Reduzierung der Zahl der Glieder senkt die Zahl externer Contracts, von denen die Auszahlung abhängt.
DeFi passt bei Kontrolle von Signatur und Berechtigungen: Prüfung von Netzwerk und Contract-Adresse, approve mit Limit, separate Speicheradresse und Ausstiegsbedingung bei fallender Liquidität.
Für wen DeFi bei bewusster Kontrolle der Signatur geeignet ist
DeFi passt zu Nutzern, die die Unumkehrbarkeit von Transaktionen akzeptieren und Contract-Adressen, approvals, Swap-Parameter und Ausstiegsbedingungen kontrollieren; ohne diese Kontrolle wird self-custody aus einem Signaturfehler zu direktem Mittelverlust.
Nutzer mit aufgebauter operativer Sicherheit
Adressentrennung, Kontrolle von approvals und Prüfung von Signaturparametern begrenzen die Summe, die in einem Vorfall verloren gehen kann.
- Die Speicheradresse ist von der Arbeitsadresse getrennt, auf der Signaturen ausgeführt werden.
- Approvals werden mit Limit erteilt und nach der Operation zurückgezogen.
- Die Position wird reduziert, wenn Liquiditätstiefe fällt und der Ausstiegspreis schlechter wird.
Adressentrennung und begrenztes approve reduzieren die Menge an Token, die über eine fehlerhafte Signatur oder eine Contract-Kompromittierung abgebucht werden kann.
Trader, die self-custody und direkten Zugang zum On-Chain-Markt benötigen
On-Chain-Handel gibt direkten Zugang zu Pools, aber das Ergebnis wird durch Pooltiefe und Parameter der Transaktionsausführung bestimmt.
- Moderates Volumen reduziert price impact in einem AMM-Pool.
- Eine Ausstiegsbedingung fixiert den Schließungszeitpunkt bei fallendem APY und fallender Liquidität.
- Slippage und minimum received begrenzen die Spanne des Ausführungspreises.
Der Ausführungspreis eines Swaps hängt von Pooltiefe und slippage ab; bei dünner Liquidität liefert dasselbe Swap-Volumen nach Ausführung im Block weniger Basis-Asset.
Nutzer, die die Abhängigkeitskarte des Protokolls prüfen
Die Prüfung der Ertragsquelle und der Risikopunkte (Oracle, Bridge, Upgrade, Interface) reduziert die Wahrscheinlichkeit eines Einstiegs in eine Strategie, bei der eine Auszahlung durch einen externen Contract oder Zugriffs-Infrastruktur blockiert wird.
- Die Trennung von Ertrag in Gebühren und Emission trennt Gebühreneinnahmen von einer Subvention im Belohnungs-Token.
- Die Prüfung von Oracle und Collateral-Faktor zeigt das Liquidationsrisiko nach Oracle-Preis.
- Die Prüfung von Bridges und Integrationen zeigt, welcher externe Contract die Auszahlung blockieren kann.
Die Prüfung von Oracle, Bridge und Upgrades fixiert, von welchen externen Adressen und Schlüsseln Auszahlung und Berechnung der Liquidationsschwelle abhängen.
Das FAQ beantwortet acht Fragen: DeFi vs CEX, approve, slippage, impermanent loss, Bridges, kleine Beträge, Lending und typische Anfängerfehler.
FAQ zu DeFi-Risiken und Einschränkungen
Ist DeFi sicherer als zentralisierte Börsen?
Meistens nein. Für die meisten Nutzer trägt DeFi ein höheres operatives Risiko, weil jeder Fehler bei Signatur oder Transaktionsparametern irreversibel ist.
In DeFi entsteht Verlust durch einen Smart-Contract-Bug, Interface-Manipulation oder Nutzerfehler bei der Signatur. Bei CEX hängt Verlust mit einem Börsenhack, Auszahlungsstopp nach Plattformregeln oder Betreiberfehler zusammen, kann aber manchmal durch Limits, Verzögerungen und Verfahren zum Stoppen der Auszahlung reduziert werden.
Warum gelten approve-Berechtigungen als kritisches Risiko?
Approve gibt einem Smart Contract das Recht, Token von der Adresse des Nutzers ohne wiederholte Signatur abzubuchen. Unlimited approve gibt das Recht, das gesamte Token-Guthaben abzubuchen, wenn Contract oder Interface kompromittiert sind.
Welche slippage kann als akzeptabel gelten?
Slippage legt die maximale Verschlechterung des Ausführungspreises gegenüber dem erwarteten Preis fest; bei breiter slippage kann ein Swap zu einem um den festgelegten Prozentwert verschlechterten Preis ausgeführt werden. In einem dünnen Pool erleichtert breite slippage einen Sandwich-Angriff und erhöht den tatsächlichen Preisverlust.
Sind Verluste in einem Liquiditätspool bei steigendem Markt möglich?
Ja. Impermanent loss entsteht, wenn die Preise der Assets im Paar auseinanderlaufen und der AMM Asset-Anteile innerhalb der LP-Position neu verteilt, daher kann der Endwert der LP niedriger sein als das passive Halten derselben Assets.
Warum gelten Bridges als das anfälligste Element von Cross-Chain?
Weil in einer Bridge mehrere Ausfallpunkte gleichzeitig zusammenlaufen: Validatoren, Governance-Schlüssel, Contract-Logik und Mechanismus zur Ausgabe wrapped Assets.
Wenn auch nur ein Element bricht — Validatoren stoppen, Governance-Schlüssel leaken oder der Contract fehlerhaft arbeitet — verliert der wrapped Token die Möglichkeit, gegen das Ausgangs-Asset getauscht zu werden, und die Auszahlung von Mitteln kann blockiert werden.
Ist DeFi bei kleinen Beträgen sinnvoll?
Bei kleinen Beträgen nimmt die gas-Gebühr einen großen Anteil des Kapitals ein, daher können zwei Operationen (Einstieg und Ausstieg) den gesamten Ertrag aufzehren. Wirtschaftlicher Sinn hängt davon ab, ob der erwartete Ertrag zwei gas-Gebühren und Verluste durch price impact deckt.
Warum wirkt Lending stabil, führt aber häufig zu Verlusten?
Lending enthält automatische Liquidation: Wenn der Preis der Sicherheiten nach Oracle fällt, wird die Position zwangsverkauft. In einer starken Abwärtsphase wird die Liquidität für den Verkauf der Sicherheiten dünner, daher fixiert die Liquidation einen großen Abschlag zum fairen Preis.
Womit beginnen Verluste bei Anfängern in DeFi?
Verluste beginnen mit zwei Fehlern: falsche Signatur (Netzwerk, Adresse, slippage) und übermäßiges approve. Eine signierte Transaktion ist irreversibel, und ein aktives approve erlaubt die Token-Abbuchung ohne neue Signatur, wenn Contract oder Interface kompromittiert sind.
DeFi enthält kein Storno und keine Rückerstattung: Die Signatur fixiert die Übertragung, und Code-, Oracle-, Bridge- und Liquiditätsrisiken können zusammenfallen und den Verlust erhöhen.
Wann DeFi wirklich ungeeignet ist
DeFi wird zur schlechten Wahl, wenn Storno von Operationen, exakter Ausführungspreis und minimaler Schaden durch einen Signaturfehler erforderlich sind.
DeFi lässt die Kontrolle über Schlüssel beim Nutzer, entfernt aber Stornoregeln, manuelle Operationsprüfung und Rückerstattungsverfahren. Schlüssel, Signaturen, approvals und Adressverifikation werden zur einzigen Barriere zwischen Asset und irreversiblem Fehler.
Verlust entsteht ohne Hack, wenn Protokoll-Upgrade, verzerrter Oracle-Preis, fallende Poolliquidität und hohes gas in einem Zeitraum zusammenfallen und Ausstiegspreis sowie Positionsverwaltung verschlechtern.
Der Verzicht auf DeFi senkt das Risiko eines irreversiblen Verlusts, wenn die Position groß ist, Netzwerk und Adressen vor der Signatur nicht geprüft werden oder die Strategie bei Netzüberlastung und dünner Liquidität einen exakten Ausführungspreis verlangt.
- Reduzierung der Zahl von Abhängigkeiten. Weniger Protokolle und Bridges reduzieren die Zahl externer Contracts, von denen die Auszahlung abhängt.
- Trennung von Adressen nach Rollen. Eine Speicheradresse reduziert die Summe, die über approvals der Arbeitsadresse abgebucht werden kann.
- Bewertung des Ergebnisses im Basis-Asset. Gas und price impact reduzieren das Ergebnis im Basis-Asset, selbst wenn APY im Interface hoch aussieht.
- Collateral-Puffer. Ein Collateral-Puffer erhöht die Distanz zur Liquidationsschwelle nach Oracle-Preis.
In DeFi führt der Smart Contract die Signatur ohne Storno aus; Infrastruktur mit Rückerstattungsregeln und manueller Operationsprüfung reduziert den Schaden operativer Fehler bei Auszahlung und Übertragung.
🛡️ Material: DeFi-Sicherheit
Bedrohungskarte, Angriffsfälle und Kontrollsignale für Vorfälle