Auf deinem Gegenstand landet ein Gebot über 12,5 ETH, während die Kollektion nahe 0,5 ETH den Besitzer wechselt. Die Zahl ist in dem Sinne echt, dass jemand sie in eine Order signiert hat. Was die Zahl dir nicht sagt, ist, in welchem Token sie gezählt wird, und genau dieses eine Feld macht aus dem Handel, den du anzunehmen glaubst, einen anderen Handel.
Was ein Gebot wirklich ist
Ein Gebot, auch Offerte genannt, ist die Kaufseite derselben Bauform mit signierten Ordern, die auf der Verkaufsseite gefälschte Angebote trägt. Der Bietende schickt nirgendwohin Geld. Er signiert eine Nachricht, die einen Gegenstand, einen Betrag, einen Währungs-Contract und eine Frist benennt, und der Marktplatz speichert diese Signatur und stellt sie als Zeile auf deiner Seite dar.
Auf der Chain hat sich zu diesem Zeitpunkt nichts bewegt. Die Übertragung geschieht, wenn du annimmst, denn deine Annahme ist die Transaktion, die die Order erfüllt, das NFT aus deiner Wallet schickt und die Token des Bietenden hereinholt. Du bist die Partei, die sie einreicht, und damit ist das Lesen der Order deine Aufgabe und nicht die des Bietenden.
EIP-712, der Ethereum-Standard für das Hashen und Signieren typisierter strukturierter Daten, gibt diesen Nachrichten eine lesbare Form. Er wurde gegen genau die Lage geschrieben, die er beschreibt: signierte Nachrichten sind eine undurchsichtige Hex-Zeichenkette, die dem Nutzer mit kaum Kontext zu den Bestandteilen der Nachricht angezeigt wird. Strukturiertes Signieren hat ein Gebot lesbar gemacht. Ehrlich hat es ein Gebot nicht gemacht.
Die Währungszeile entscheidet, was ein Gebot wert ist
Ein Gebot trägt einen Betrag und die Adresse des Tokens, in dem dieser Betrag gezählt wird. Die Seite setzt den Betrag groß und die Adresse nirgends. In diesem Layout liegt die ganze Öffnung, denn ein Betrag ist immer nur eine Menge von dem, worauf das zweite Feld zeigt.
Token-Symbole identifizieren nichts. Unter ERC-20 sind sowohl name als auch symbol optional, und der Standard hält fest, dass die Methode der Benutzbarkeit dienen kann, Schnittstellen und andere Contracts das Vorhandensein dieser Werte aber nicht erwarten dürfen. Wer ausrollt, wählt diese Zeichenketten frei, also kostet ein Contract, dessen Symbol sich genau wie das eines Contracts für Wrapped Ether liest, eine einzige Ausrollung und lässt sich in jeder Menge prägen, die sein Autor will.
Ein in einem solchen Token denominiertes Gebot ist keine Fälschung, und es würde sich genau so abwickeln, wie es dasteht: du gibst den Gegenstand her und erhältst die genannte Zahl an Einheiten eines Tokens, hinter dem kein Käufer steht. Die Prüfung ist deshalb ein Adressvergleich, und ERC-721 sagt auf der Gegenstandsseite dasselbe, wenn es das Paar aus Contract-Adresse und Token-ID einen global einzigartigen und vollständig qualifizierten Identifier für ein bestimmtes Asset auf einer Ethereum-Chain nennt. Die Identität wohnt in der Adresse. Symbole sind Etiketten, die darübergezeichnet sind.
Warum die Höhe eines Gebots nichts beweist
Ein Gebot 25 Mal über dem Niveau, auf dem eine Kollektion gehandelt hat, liest sich wie ein Geldsegen und stellt etwas weit Schwächeres fest: was eine Adresse zu zahlen behauptet. Das zu sagen kostet nichts. Das Gebot kann zurückgezogen werden, bevor du es erreichst, und es endet an der Frist, die in es hineingeschrieben ist.
Gebote lassen sich auch absichtlich dafür herstellen, angeschaut zu werden. Gebote zwischen Adressen unter einem Betreiber erzeugen den Anschein von Nachfrage so, wie Wash Trading den Anschein von Volumen erzeugt, und weder die Marktplatzseite noch die Chain halten fest, wer welche Adresse steuert.
Die praktische Form davon ist ein Gebot, das gesehen und nicht erfüllt werden soll. Es verankert einen Verkäufer auf einer Zahl, oder es zieht Aufmerksamkeit auf eine Kollektion, während andere Gegenstände dieser Kollektion in diese Aufmerksamkeit hinein verkauft werden. Behandle ein Gebot als eine Aussage einer Adresse über sich selbst und behalte das Niveau, auf dem die Kollektion tatsächlich handelt, als die getrennte Frage, die es ist.
Das Gebot, das in Wirklichkeit eine Genehmigungsanfrage ist
Manche Gebotsbenachrichtigungen sind keine Gebote. Die Seite existiert, um dir eine Signaturabfrage vorzulegen, und was sie verlangt, ist eine dauerhafte Erlaubnis über deine Kollektion statt eines Verkaufs. ERC-721 definiert setApprovalForAll als Ermöglichung oder Aufhebung der Genehmigung für einen Dritten, Operator genannt, sämtliche Assets des Aufrufers zu verwalten, und ein Operator mit dieser Erlaubnis kann jeden Gegenstand der Kollektion bewegen, ohne erneut zu fragen: das ist der Mechanismus hinter einem Wallet-Drainer.
Die Währungsseite hat ihre eigene Fassung. ERC-2612 fügt eine permit-Funktion hinzu, damit ein Limit aus einer signierten Nachricht gesetzt werden kann statt aus einer Transaktion, die der Halter selbst sendet, wobei die signierten Daten nach EIP-712 strukturiert sind. Eine Token-Genehmigung, die auf diesem Weg ankommt, hinterlässt im Moment des Signierens keine Transaktion, die auffallen könnte, und ERC-20 warnt bereits, dass ein erneuter Aufruf von approve das aktuelle Limit mit dem neuen Wert überschreibt.
EIP-712 gibt dir außerdem das Feld, das eine echte Abfrage von ihrer Kopie trennt. Sein Domain-Separator benennt den Contract, für den eine Signatur gültig ist, und die Begründung erklärt, dass der Separator die Kollision ansonsten identischer Strukturen verhindert, da zwei Anwendungen zu einer identischen Struktur gelangen können, die nicht kompatibel sein sollte. Die Spezifikation rechnet damit, dass User Agents auf dieser Grundlage contract-spezifischen Phishing-Schutz betreiben. In der Praxis heißt das, den verifizierenden Contract innerhalb der dekodierten Abfrage zu lesen, bevor du irgendetwas liest, was die Seite darum herum geschrieben hat.
Gebote, die von außerhalb des Marktplatzes kommen
Ein Gebot, das dich als Direktnachricht, als E-Mail oder als Link in einem Gegenstand erreicht, den dir jemand in die Wallet geworfen hat, hat den einzigen Teil des Ablaufs übersprungen, der je überprüfbar war: die Marktplatz-Oberfläche, die du selbst geöffnet hast. Eine Nachricht kann dieses Layout genau nachbauen, weil das Layout öffentlich ist.
Die Gewohnheit, die das schließt, besteht darin, den Marktplatz über eine Adresse zu erreichen, die du selbst gespeichert hast, und dort nach dem Gebot zu suchen. Ein Gebot, das existiert, steht auf der Seite deines Gegenstands. Eines, das nur in der Nachricht existiert, ist kein Gebot, und was am Ende des Links wartet, ist die Abfrage.
Was eine Gebotszeile versprechen kann und was nicht
| Was die Zeile zeigt | Was es ist | Was es entscheidet |
|---|---|---|
| Der Betrag | Ein Feld in der signierten Order | Für sich genommen nichts |
| Das Währungssymbol | Freier Text, gewählt von dem, der den Token ausrollt | Nichts |
| Die Contract-Adresse der Währung | Die Identität des angebotenen Assets | Was du tatsächlich bekommst |
| Die Frist | Ein Feld in der signierten Order | Den spätesten Zeitpunkt der Erfüllung, nicht den frühesten des Rückzugs |
| Die Bestände des Bietenden | Überhaupt kein Teil der Order | Nichts, obwohl ein zu knappes Guthaben die Erfüllung zurückrollt |
Geh die mittlere Spalte hinunter, und das Muster ist, dass jede Zeile außer einer eine Behauptung ist, während die Adresszeile eine Identität ist. Das ist die Zeile, die deine Aufmerksamkeit verdient, und es ist die Zeile, die die Oberfläche am kleinsten darstellt.
Was du prüfst, bevor du annimmst
| Was du prüfst | Womit du es vergleichst | Was eine Abweichung bedeutet |
|---|---|---|
| Contract-Adresse der Währung | Mit der Adresse, die der Herausgeber selbst veröffentlicht | Du wirst in einem anderen Asset bezahlt |
| Contract und Token-ID des Gegenstands | Mit dem Gegenstand, den du zu verkaufen glaubst | Die Order zeigt auf etwas anderes |
| Was die Abfrage autorisiert | Mit der Handlung, die du beabsichtigt hast | Du erteilst Zugriff, statt zu verkaufen |
| Der verifizierende Contract in der Abfrage | Mit dem Marktplatz, den du selbst geöffnet hast | Die Signatur gilt dem Contract eines anderen |
| Bestehende Genehmigungen auf der Kollektion | Mit den Operatoren, die du autorisieren wolltest | Eine früher erteilte Erlaubnis ist noch offen |
Die Reihenfolge zählt hier. Die Währungsadresse kommt zuerst, weil sie entscheidet, ob es überhaupt einen Handel gibt, und die Signaturprüfung kommt vor der Preisprüfung, weil eine Abfrage, die Zugriff erteilt, sich nicht darum schert, welcher Preis auf der Seite stand.
Fazit
Ein Gebot ist eine signierte Nachricht mit mehreren Feldern, und ein Marktplatz stellt eines davon groß dar. Der Betrag ist das Feld, das überzeugt, die Währungsadresse ist das Feld, das entscheidet, und in derselben Größe werden die beiden nie gezeigt. Das zweite zu lesen ist die gesamte Verteidigung gegen ein Gebot, das in einem Token denominiert ist, der ein Symbol kopiert hat.
Die andere Hälfte ist die Abfrage. Ein Gebot anzunehmen ist ein Verkauf, der einen Gegenstand bewegt und dich dafür bezahlt, während eine Anfrage nach Operator-Rechten über deine Kollektion überhaupt kein Verkauf ist: sie kostet im Moment des Signierens nichts und erteilt danach alles. Prüfe die Währungsadresse, prüfe, was die Signatur autorisiert, und erreiche den Marktplatz über eine Adresse, die du selbst getippt hast. Um die Grundlagen weiter zu lernen, folge weiteren Beiträgen der Bitbase Academy.
Weiterführende Artikel
Weitere Bitbase-Artikel zu diesem Thema:
- Mindestpreis-Manipulation auf Marktplätzen für nicht-fungible Token
- Krypto-Login-Sicherheit: So schützt du dein Konto
- Airdrop-Betrug und eine Sicherheitscheckliste vor einer Anspruchsprüfung
- Krypto-On-Ramp vs Off-Ramp: Was ist der Unterschied?
- Kult-Coins und Community-Übernahmen (CTO)
Haftungsausschluss: Dieser Artikel ist Bildungsinhalt der Bitbase Academy, nur zu Informationszwecken. Er ist keine Anlage-, Handels-, Steuer- oder Finanzberatung. Krypto-Assets sind volatil — schätze dein Risiko selbst ein. Stand September 2026; maßgeblich sind die aktuellen offiziellen Informationen.
Quellen
[1] Ethereum Improvement Proposals (EIP), EIP-712: Typed structured data hashing and signing eips.ethereum.org
[2] Ethereum Improvement Proposals (EIP), ERC-20: Token Standard eips.ethereum.org
[3] Ethereum Improvement Proposals (EIP), ERC-721: Non-Fungible Token Standard eips.ethereum.org
[4] Ethereum Improvement Proposals (EIP), ERC-2612: Permit Extension for EIP-20 Signed Approvals eips.ethereum.org
