Reentrancy Attack: die berüchtigte Smart-Contract-Lücke
Wie der Wiedereintritts-Angriff mehrfach Geld aus einem Smart Contract abzieht, was der berühmte DAO-Hack damit zu tun hat und wie Entwickler sich davor schützen
Definition
Reentrancy Attack ist eine Angriffsmethode aus der IT- oder Krypto-Sicherheit, bei der Schwachstellen in Technik, Verhalten oder Prozessen ausgenutzt werden. Gerade bei Wallets und digitalen Werten ist der Begriff wichtig, weil Fehler oft nicht rückgaengig zu machen sind.
Ein Reentrancy Attack (Wiedereintritts-Angriff) ist eine berüchtigte Sicherheitslücke in Smart Contracts. Dabei nutzt ein Angreifer aus, dass ein Vertrag Geld auszahlt, bevor er seinen internen Kontostand aktualisiert. Durch wiederholtes „Wiedereintreten“ in dieselbe Funktion kann der Angreifer mehrfach Geld abheben, obwohl ihm nur eine Auszahlung zusteht.
Wie der Angriff funktioniert
Vereinfacht: Ein verwundbarer Vertrag sendet erst das Geld und schreibt erst danach den neuen (niedrigeren) Kontostand. Der Angreifer baut seinen eigenen Vertrag so, dass er beim Geldempfang sofort erneut die Auszahlungsfunktion aufruft, bevor der Kontostand aktualisiert wurde. So wiederholt sich die Auszahlung, bis der Vertrag leer ist. Der berühmteste Fall war der „DAO-Hack“ 2016, der zu einer Spaltung von Ethereum führte.
Wie man sich schützt
Die wichtigste Gegenmaßnahme ist das „Checks-Effects-Interactions“-Muster: Ein Vertrag soll erst alle Prüfungen und Zustandsänderungen vornehmen (also den Kontostand aktualisieren) und erst ganz zuletzt Geld auszahlen. Moderne Entwicklungsstandards und sorgfältige Audits haben diese Klasse von Fehlern deutlich seltener gemacht, ausgeschlossen sind sie aber nie.
Als Nutzer kannst du eine Reentrancy-Lücke nicht selbst erkennen, das ist Sache der Entwickler und Auditoren. Aber das Wissen darum hilft, die Bedeutung von Audits einzuordnen: DeFi-Protokolle, deren Code von renommierten Firmen geprüft wurde, sind in der Regel sicherer. Verlasse dich trotzdem nie blind auf ein „auditiert“-Siegel und setze in DeFi nur Kapital ein, dessen Verlust du verkraftest. Keine Anlageberatung.
Häufig gestellte Fragen
Was ist ein Reentrancy Attack?
Ein Reentrancy Attack ist eine Sicherheitslücke in Smart Contracts. Ein Angreifer nutzt aus, dass ein Vertrag Geld auszahlt, bevor er seinen internen Kontostand aktualisiert. Durch wiederholtes „Wiedereintreten“ in dieselbe Funktion kann er mehrfach Geld abheben, obwohl ihm nur eine Auszahlung zusteht.
Was war der DAO-Hack?
Der DAO-Hack 2016 war der berühmteste Reentrancy-Angriff. Über diese Lücke wurden große Mengen Ether aus dem damaligen DAO-Projekt abgezogen. Die Folge war so gravierend, dass sie zu einer Spaltung von Ethereum führte, in Ethereum und Ethereum Classic. Der Fall machte Reentrancy-Lücken schlagartig bekannt.
Wie schützt man sich vor Reentrancy?
Mit dem „Checks-Effects-Interactions“-Muster: Ein Vertrag soll erst alle Prüfungen und Zustandsänderungen vornehmen (den Kontostand aktualisieren) und erst zuletzt Geld auszahlen. Moderne Standards und sorgfältige Audits haben diese Fehlerklasse seltener gemacht, ganz ausschließen lässt sie sich aber nie.
Verwandte Begriffe
Smart Contract
Ein Smart Contract ist ein Programm auf einer Blockchain, das automatisch ausgeführt wird, wenn vord...
DeFi
DeFi (Decentralized Finance) bezeichnet Finanzdienstleistungen auf Blockchain-Basis, die ohne Banken...
Penetration Test
Ein Penetration Test (Pentest) ist ein autorisierter, simulierter Cyberangriff auf ein System, um Si...
Über die Autorin
Dr. Stephanie Morgenroth
Steffi ist promovierte Medizinerin, Krypto-Investorin seit 2021 und erreicht mit MissCrypto über 105.000 Menschen auf Social Media. Sie macht komplexe Themen wie Bitcoin, DeFi und Krypto-Steuern verständlich, ehrlich, unabhängig und ohne Hype.
Über Steffi →Risikohinweis: Meine Inhalte dienen ausschließlich zur Information und stellen keine Anlageberatung dar.
Diese Seite kann Affiliate-Links enthalten. Bei einem Kauf über diese Links erhalte ich eine Provision — du unterstützt meinen Kanal ohne Mehrkosten. Danke! ❤️