Admin-Schlüssel von Smart Contracts: Was jeder Krypto-Investor wissen muss
yo****@gmail.com2026-04-23
Im September 2025 hat WLFI Justins Suns Token im Wert von 100 Mio. $ mittels einer versteckten Funktion im Smart Contract eingefroren. Hier erfahren Sie, was Admin-Schlüssel sind und wie Sie überprüfen können, ob Ihr Token einen solchen besitzt.
Im September 2025 erwachte Justin Sun, der Gründer von Tron und der größte Einzelinvestor bei World Liberty Financial, und stellte fest, dass Token im Wert von über 100 Millionen Dollar vollständig eingefroren waren. Er hatte nichts Illegales getan. Kein Gericht hatte das Einfrieren angeordnet. Keine Aufsichtsbehörde hatte eingegriffen. Eine Funktion, die im Smart Contract von WLFI verborgen war und die keinem Investor jemals offengelegt wurde, wurde vom Projektteam einseitig aktiviert. Seine Wallet wurde auf die Blacklist gesetzt. Die Token waren gesperrt. Und er konnte nichts dagegen tun.
Im April 2026 machte Sun die ganze Geschichte öffentlich und beschrieb die Funktion als „eine Falltür, die als offene Tür vermarktet wurde“ und nannte sie einen fundamentalen Verstoß gegen die Blockchain-Prinzipien. Er hat Recht. Aber die wichtigere Frage für jeden Krypto-Investor ist nicht, was mit Justin Sun geschah. Es ist die Frage, ob der Token, der in der eigenen Wallet liegt, dieselbe Funktion in seinem Code verankert hat.
Viele tun dies.
Was ein Smart Contract eigentlich ist
Bevor Sie Admin-Keys verstehen, müssen Sie wissen, was ein Smart Contract ist, denn der Name ist leicht irreführend. Ein Smart Contract ist kein Rechtsdokument. Er ist ein Stück Code, das dauerhaft auf einer Blockchain bereitgestellt wird. Er definiert die Regeln eines Tokens: wie viele existieren, wie sie übertragen werden können, wer sie senden kann, wer sie empfangen kann und welche Bedingungen welche Aktionen auslösen.
Einmal bereitgestellt, kann ein Smart Contract nicht geändert oder gelöscht werden. Diese Beständigkeit ist genau das, was die Blockchain so wertvoll macht. Niemand kann nachträglich eingreifen und die Regeln stillschweigend umschreiben.
Außer, wie sich herausstellt, manchmal doch.
Was ein Admin-Key ist
Ein Admin-Key, manchmal auch als Owner-Key oder privilegierte Adresse bezeichnet, ist eine spezielle Berechtigung, die in einen Smart Contract geschrieben wird und demjenigen, der eine bestimmte Wallet-Adresse kontrolliert, spezifische Befugnisse verleiht. Die Person, die den Contract bereitstellt, besitzt diesen Key typischerweise beim Start, und er kann die Möglichkeit geben, Dinge zu tun, die normale Token-Inhaber nicht können.
Gängige Admin-Key-Funktionen umfassen die Möglichkeit, neue Token zu prägen, wodurch effektiv Angebot aus dem Nichts geschaffen wird. Die Möglichkeit, alle Token-Transfers zu pausieren und den gesamten Markt für das Asset einzufrieren. Die Möglichkeit, die Transaktionsgebühr bei Transfers zu ändern, manchmal auf 100 %, was bedeutet, dass jede Übertragung den gesamten Betrag an den Contract-Besitzer sendet. Die Möglichkeit, den Contract selbst zu aktualisieren und die Regeln des Tokens vollständig zu ändern. Und die Funktion, die im Mittelpunkt der WLFI-Geschichte steht: die Möglichkeit, spezifische Wallet-Adressen auf eine Blacklist zu setzen und sie daran zu hindern, Token zu senden oder zu empfangen.
Keine dieser Funktionen ist von Natur aus bösartig. Stablecoins wie USDC verwenden Blacklist-Funktionen, um Anfragen von Strafverfolgungsbehörden nachzukommen und Wallets einzufrieren, die mit Straftaten in Verbindung stehen. Aktualisierbare Contracts ermöglichen es Entwicklungsteams, Fehler zu beheben, ohne einen völlig neuen Token erneut bereitzustellen. Pause-Funktionen existieren für echte Notfälle. Das Problem ist nicht die Existenz dieser Funktionen. Das Problem ist, wenn sie existieren, ohne offengelegt zu werden, ohne durch transparente Gemeinschaftsprozesse geregelt zu werden und ohne Kontrollen, wie oder wann sie verwendet werden können.
Die WLFI-Blacklist war ein Offenlegungsfehler
Die spezifische Funktion, mit der Justin Suns Wallet eingefroren wurde, hieß guardianSetBlacklistStatus. Sie wurde von Wu Blockchain nach dem Einfrieren On-Chain dokumentiert, was bedeutet, dass jeder, der den Contract-Code betrachtete, sie technisch hätte finden können. Aber sie wurde in keiner Investorendokumentation erwähnt, war nicht in einer öffentlichen Offenlegung enthalten und wurde keiner Governance-Abstimmung unterzogen, bevor sie in den Contract eingebettet wurde. Sie wurde eine Woche, bevor der Token im September 2025 übertragbar wurde, hinzugefügt.
WLFI vermarktete sich als dezentrale Finanzplattform, die darauf abzielte, finanzielle Freiheit zu fördern und Intermediäre zu beseitigen. Die Existenz einer unilateralen Wallet-Einfrierfunktion, kontrolliert von einem einzigen Team, ohne Benachrichtigungspflicht und ohne Berufungsmöglichkeit, ist das genaue Gegenteil dieser Beschreibung. Das Projekt sammelte über 550 Millionen Dollar von Investoren, die glaubten, in ein erlaubnisloses System zu investieren. Die Funktion war von Anfang an vorhanden. Sie wurde lediglich nicht beworben.
Dies ist der Offenlegungsfehler, den Suns Erklärung vom April 2026 direkt anspricht. Das Problem war nicht, dass WLFI einen Admin-Key hatte. Das Problem ist, dass Investoren nie gesagt wurde, dass er existiert.
Warum dies häufiger vorkommt, als man denkt
WLFI ist kein ungewöhnlicher Fall. Untersuchungen zu Zentralisierungsfehlern von Smart Contracts ergaben, dass die überwiegende Mehrheit der geprüften Contracts mindestens eine Zentralisierungsschwachstelle enthält, wobei über 80 % der gemeldeten Fehler aus Funktionen stammen, die von einer einzigen privaten Schlüsseladresse kontrolliert werden. Zugriffssteuerungsschwachstellen wurden von OWASPs 2026 Smart Contract Top 10 als die Kategorie Nummer eins des Smart-Contract-Risikos eingestuft und verursachten in einem einzigen Jahr dokumentierte Verluste von 953,2 Millionen Dollar.
Der Squid Game Token, eines der berüchtigtsten frühen Beispiele, verbarg eine Hintertür, die es nur dem Entwickler erlaubte, Token zu verkaufen. Jeder Kleinanleger, der kaufte, konnte nicht aussteigen. Der Entwickler verkaufte. Der Preis fiel auf Null. Die Hintertür war die ganze Zeit im Code.
Im Jahr 2021 führte der Poly Network-Hack zu Verlusten von über 600 Millionen Dollar, als Angreifer Zugang zu Admin-Berechtigungen erhielten und diese nutzten, um Transaktionsaufzeichnungen zu ändern. Admin-Rollen-Leckagen, eine spezifische Art von Zentralisierungsfehler, bei der Admin-Berechtigungen unsachgemäß zugewiesen oder offengelegt werden, verursachten allein im ersten Halbjahr 2025 Verluste von 48 Millionen Dollar bei fünf DeFi-Projekten.
Das Muster ist konsistent. Die Funktion existiert. Sie wird entweder nicht offengelegt oder ist in technischen Dokumentationen vergraben, die die meisten Investoren nie lesen. Und wenn sie verwendet wird, sei es von einem Angreifer, der Zugang erhalten hat, oder vom Projektteam selbst, haben Token-Inhaber keine rechtlichen Mittel.
Der Unterschied zwischen legitimen und gefährlichen Admin-Keys
Nicht jeder Admin-Key ist eine rote Flagge. Die Unterscheidung basiert auf drei Dingen: Offenlegung, Governance und Grenzen.
Legitime Nutzung von Admin-Keys sieht so aus: Die Funktion ist im Whitepaper und in der technischen Dokumentation des Projekts klar dokumentiert. Sie kann nur über einen Multi-Signatur-Prozess aktiviert werden, der die Zustimmung mehrerer unabhängiger Keyholder erfordert, nicht durch eine einzelne Adresse, die von einem Team kontrolliert wird.
Sie unterliegt einem Timelock, was bedeutet, dass es eine obligatorische Verzögerung zwischen dem Vorschlag einer Änderung und ihrem Inkrafttreten gibt, die Token-Inhabern Zeit gibt, auszusteigen, wenn sie nicht einverstanden sind. Die Community-Governance hat ihre Existenz und ihre Nutzungsbedingungen genehmigt. CertiK und andere Prüfungsunternehmen kennzeichnen und bewerten diese Funktionen explizit als Teil ihrer Sicherheitsbewertungen.
Gefährliche Admin-Keys sehen so aus: Die Funktion wird in keiner öffentlichen Dokumentation erwähnt. Sie wird von einem einzigen privaten Schlüssel kontrolliert, der vom Gründerteam gehalten wird, ohne Multi-Sig-Anforderung. Es gibt keinen Timelock, was bedeutet, dass sie sofort aktiviert werden kann. Governance-Abstimmungen, falls sie überhaupt stattfinden, werden ohne vollständige Informationen für die Wähler durchgeführt. Dies ist genau das, was Sun in seiner Erklärung vom April 2026 beschrieb: „Wichtige Informationen wurden den Wählern vorenthalten, eine sinnvolle Beteiligung wurde eingeschränkt, und die Ergebnisse waren vorherbestimmt.“
So prüfen Sie einen Token, bevor Sie investieren
Die gute Nachricht ist, dass Smart-Contract-Code öffentlich auf der Blockchain verfügbar ist. Sie müssen kein Entwickler sein, um eine grundlegende Prüfung durchzuführen, da mehrere kostenlose Tools speziell entwickelt wurden, um diese Risiken für nicht-technische Benutzer sichtbar zu machen.
Token Sniffer ermöglicht es Ihnen, eine Contract-Adresse einzufügen und einen automatischen Scan zu erhalten, der verdächtige Funktionen wie Blacklist-Fähigkeit, Pause-Funktionen, versteckte Mint-Funktionen und Proxy-Upgrade-Risiken identifiziert. De.Fi Scanner führt eine ähnliche Analyse durch und prüft spezifisch auf transferblockierende Funktionalität, Gebührenmanipulation und Owner-Privilegien-Flags. CoinGecko und CoinMarketCap zeigen beide zunehmend Audit-Informationen und Zentralisierungswarnungen auf Token-Seiten an. Für jeden Token, den Sie ernsthaft in Betracht ziehen, wird die Suche nach seiner Contract-Adresse auf Etherscan oder BscScan und das Durchsuchen von Audit-Berichten von Firmen wie CertiK, Hacken oder Trail of Bits Ihnen Aufschluss darüber geben, ob der Code unabhängig überprüft wurde und welche Risiken gekennzeichnet wurden.
Keiner dieser Schritte dauert länger als ein paar Minuten. Sie werden nicht alles erfassen, aber sie werden die offensichtlichsten Zentralisierungsrisiken aufdecken, bevor Sie Kapital einsetzen.
Was der WLFI-Fall geändert hat
Bevor die Blacklist von Justin Sun im September 2025 öffentlich bekannt wurde, dachten die meisten Kleinanleger nicht über die Offenlegung von Admin-Keys nach. Es war ein Entwicklergespräch, das in Audit-Berichten vergraben und auf Sicherheitskonferenzen diskutiert wurde. Die öffentliche Eskalation im April 2026 machte es unvermeidlich.
Ein Projekt, das über eine halbe Milliarde Dollar eingesammelt hatte, unterstützt von einer der prominentesten politischen Familien der Vereinigten Staaten, mit einer öffentlich erklärten Mission der finanziellen Freiheit und Dezentralisierung, hat heimlich eine Funktion eingebettet, die es ihm ermöglichte, die Token jedes Investors ohne Vorankündigung, Begründung oder Rechtsbehelf einzufrieren. Sein größter Einzelinvestor, ein Milliardär mit rechtlichen Ressourcen und globaler Reichweite, hat seit sieben Monaten und länger keinen Zugriff auf über 100 Millionen Dollar seiner eigenen Vermögenswerte.
Wenn es ihm passieren kann, kann es jedem passieren.
Die Blockchain ist transparent. Der Code ist öffentlich. Die Tools zur Überprüfung sind kostenlos. Die einzige Frage ist, ob Investoren sich dafür entscheiden, hinzusehen.
