Ist Trust Wallet sicher? Token-Freigaben auf TRON widerrufen

Ist Trust Wallet derzeit sicher?

Stand 15. November 2026 ist keine Lücke in der Trust-Wallet-App bestätigt: Bitquery, das die jüngste Welle von USDT-Diebstählen auf TRON verfolgt hat, fand keinen Beleg dafür, kann eine Lücke aber auch nicht ausschließen ^[1]. Sein Bericht, dessen Zahlen am 12. November geprüft wurden, zählt mindestens 5,42 Mio. US-Dollar in USDT, die zwischen dem 5. Oktober und dem 11. November aus 454 TRON-Wallets abgezogen wurden ^[1].

Der Name Trust Wallet hängt an der Geschichte, weil Opfer angeben, sie genutzt zu haben, und weil das iPhone-Hacking-Kit, das mit einigen Diebstählen in Verbindung steht, nach ihr sucht, erklärt Bitquery ^[1]. Die Blockchain zeigt Geldbewegungen zwischen Adressen, nicht das Telefon oder die App dahinter; deshalb konnte Bitquery nur einen Diebstahl einem veröffentlichten Bericht eines iPhone-Besitzers zuordnen ^[1].

Die eigenen Hinweise von Trust Wallet zeigen auf das Telefon, nicht auf die App. In einem Beitrag vom 6. November hieß es, zwei Exploit-Kits, Coruna und DarkSword, zielten auf iPhones mit älteren iOS-Versionen, Coruna auf iOS 13.0 bis 17.2.1 und DarkSword auf iOS 18.4 bis 18.7, und „Geräte mit der neuesten iOS-Version sind davon nicht betroffen“ ^[2]. Am 11. November ergänzte das Unternehmen, seine iOS-Nutzer seien von einem separaten Exploit namens worse_query nicht betroffen und es speichere Wiederherstellungsphrasen oder private Schlüssel nie im Klartext ^[8].

Die ehrliche Antwort lautet also: Dass die App selbst geknackt ist, ist nicht belegt, aber eine Wallet ist nur so sicher wie das Gerät und die Wiederherstellungsphrase dahinter. Den vollständigen Ablauf der Diebstähle finden Sie im Pouyam-Ratgeber Trust Wallet Hacked? How to Protect Your USDT on TRON. Dieser Ratgeber behandelt die nächste Frage vieler Leser: ob der Widerruf von Token-Freigaben schützt und wie er funktioniert.

Was ist eine Token-Freigabe auf TRON?

Eine Token-Freigabe ist eine von Ihnen signierte Erlaubnis, mit der ein Smart Contract einen TRC-20-Token wie USDT bis zu einem festgelegten Limit aus Ihrer Wallet bewegen darf, ohne erneut zu fragen ^[4][6]. Technisch ruft Ihre Wallet approve(spender, amount) auf dem Token-Vertrag auf; der freigegebene Vertrag kann dann mit transferFrom Token innerhalb dieses Limits abziehen ^[4].

Freigaben sind normal. Börsen, Swap- und Lending-Apps auf TRON verlangen sie, um Ihre Token beim Handeln bewegen zu können ^[5]. Das Risiko: Freigaben bleiben aktiv, nachdem Sie die App verlassen haben. Trust Wallet weist darauf hin, dass die meisten Nutzer nicht wissen, dass Freigaben unbegrenzt gültig bleiben, und dass ein Vertrag, der „später bösartig wird“, Token „ohne weitere Bestätigung“ abziehen kann ^[3].

Viele Apps verlangen einen unbegrenzten Betrag, damit Sie später nicht erneut freigeben müssen. Das TronLink-Supportcenter warnt, dass solche Freigaben anderen Adressen und Verträgen erlauben, Vermögenswerte „ohne vorherige Benachrichtigung“ zu übertragen, und rät, vor einer Freigabe zu prüfen, ob ein Produkt quelloffen und geprüft ist ^[5]. TRON Guide beschreibt eine unbegrenzte Freigabe als eine, bei der das Limit auf den höchstmöglichen Wert gesetzt ist, und nennt solche Freigaben die größte Angriffsfläche auf TRON ^[6].

Eine Freigabe gilt außerdem nur für einen Token. Wer seine USDT-Freigabe für eine App widerruft, hebt damit keine Freigabe für einen anderen Token bei derselben App auf; jede wird einzeln geprüft und widerrufen ^[10].

Haben Token-Freigaben die USDT-Diebstähle auf TRON verursacht?

Nichts deutet darauf hin: Laut Bitquery hatten die Diebe der jüngsten TRON-Welle die Schlüssel der Wallets bereits, was sich von einer Drainer-Seite unterscheidet, die Sie dazu bringt, Token per Signatur abzutreten ^[1]. Dieser Unterschied entscheidet, was Sie schützt.

Bitquery beschreibt das Muster, mit dem es Opfer fand. Eine Gebühren-Wallet oder ein von ihr finanzierter Sammler schickte der Adresse des Opfers ein paar TRX für die Netzwerkgebühr; Sekunden später verließ das gesamte USDT-Guthaben die Wallet in einer Zahlung, danach ging auch das restliche TRX ^[1]. In einem Fall am 25. Oktober kamen 18 TRX an, und 18 Sekunden später gingen 519.093 USDT hinaus ^[1]. Bitquery deutet diese Abfolge als Werk von jemandem, der den privaten Schlüssel oder die Wiederherstellungsphrase bereits besaß ^[1]. Coindaro weist in seinem Bericht über die ersten Ergebnisse von Bitquery darauf hin, dass Bitquery eine Wallet nur dann als Opfer zählte, wenn eine einzige Zahlung ihr gesamtes USDT abzog, „das Muster eines Abzugs durch jemanden, der den privaten Schlüssel besitzt“ ^[7].

Ein Freigabe-Diebstahl sieht anders aus: Der Vertrag des Angreifers zieht Token per transferFrom ab und zahlt seine Gebühr selbst, die Wallet des Opfers braucht also kein TRX ^[4]. Der Bitquery-Bericht sagt es deutlich: „Hier hat der Dieb die Schlüssel bereits“ ^[1].

Bitquery zeigt auch, warum das wichtig ist. Eine Wallet wurde zweimal geleert: Sie verlor am 26. Oktober 19.069 USDT und, nachdem neues Geld eingegangen war, am 10. November weitere 4.140 USDT ^[1]. „Eine geleerte Wallet bleibt für die Diebe offen, solange ihre Seed-Phrase“ in Gebrauch ist, heißt es im Bericht ^[1]. Ein Widerruf von Freigaben hätte diese Tür nicht geschlossen. Er bleibt trotzdem sinnvolle Hygiene, und die Sicherheits-Checkliste von Trust Wallet nennt das Widerrufen unbekannter Freigaben ^[9], aber er ist ein zweiter Schritt, keine Heilung für einen gestohlenen Schlüssel.

Wie widerrufe ich Token-Freigaben in Trust Wallet?

Öffnen Sie die neueste Trust-Wallet-Version, wählen Sie den Approvals-Tab im Bereich der Assets, prüfen Sie die Liste und tippen Sie bei jeder App, der Sie nicht mehr vertrauen, auf Revoke ^[3]. Laut Trust Wallet erfasst die Funktion Freigaben bei der Erteilung, zeigt, auf welche Token jede App wie weit zugreifen kann, markiert Verträge mit Verbindung zu bekannten Betrugsfällen und entfernt eine Freigabe beim Widerruf auf der Blockchain ^[3].

1. Aktualisieren Sie Trust Wallet zuerst über den App Store oder Google Play; Trust Wallets Anleitung setzt die neueste Version voraus ^[3].
2. Öffnen Sie auf dem Startbildschirm den Approvals-Tab im Bereich der Assets ^[3].
3. Prüfen Sie jeden Eintrag: den Token, die App oder den Vertrag und das Limit. Achten Sie vor allem auf USDT und auf unbegrenzte Freigaben.
4. Tippen Sie bei allem, was Sie nicht kennen, nicht mehr nutzen oder was die Wallet als riskant markiert, auf Revoke und bestätigen Sie die Transaktion ^[3].
5. Halten Sie etwas TRX in der Wallet: Auf TRON ist ein Widerruf eine Transaktion, die Bandwidth und Energy verbraucht ^[4].

Eine Einschränkung: Die Ankündigung von Trust Wallet sagt nicht, welche Blockchains der Approvals-Tab abdeckt ^[3][10]. Wenn Ihre TRON-Freigaben dort nicht erscheinen oder Sie eine zweite Ansicht möchten, nutzen Sie TronScan, das jede von einer Adresse erteilte Freigabe auflistet; das beschreibt der nächste Abschnitt ^[4][6].

Ein Widerruf wirkt nur auf Freigaben. Er kann keine bereits erfolgte Überweisung rückgängig machen und keine Wallet schützen, deren Wiederherstellungsphrase jemand anderes kennt ^[10].

Wie widerrufe ich TRC-20-Freigaben auf TronScan?

Suchen Sie Ihre TRON-Adresse auf TronScan, öffnen Sie auf der Kontoseite die Liste der Freigaben, widerrufen Sie jede unerwünschte Freigabe und signieren Sie die Transaktion in Ihrer Wallet; damit wird das Limit auf null gesetzt ^[4][6]. TronScan hat diese Widerrufsfunktion am 14. Mai 2021 eingeführt und zeigt auch einen Verlauf der Freigabeänderungen ^[4].

1. Tippen Sie tronscan.org selbst in den Browser; folgen Sie keinem Link aus einem Chat oder einer Anzeige ^[10].
2. Fügen Sie Ihre Adresse, die mit T beginnt, in die Suchleiste ein ^[6].
3. Öffnen Sie auf der Kontoseite den Freigaben-Tab, je nach Layout Approval oder List of Approval genannt ^[4][6].
4. Prüfen Sie bei jedem Eintrag den Token, den freigegebenen Vertrag und den Betrag. Priorisieren Sie unbekannte oder nicht verifizierte Verträge und unbegrenzte Freigaben; TRON Guide rät, einen Vertrag zu widerrufen, den Sie nicht sicher identifizieren können ^[6].
5. Klicken Sie in der Zeile auf Cancel oder Revoke und verbinden Sie eine kompatible Wallet wie TronLink für diese Adresse ^[6].
6. Lesen Sie den Signaturbildschirm: Er sollte approve auf dem Token-Vertrag mit dem Betrag 0 aufrufen. Verlangt er etwas anderes, brechen Sie ab ^[10].
7. Aktualisieren Sie die Liste nach der Bestätigung; auf TRON dauert das meist wenige Sekunden ^[6].

TronLink-Nutzer können dasselbe in der Wallet erledigen: Das TronLink-Supportcenter verweist auf Wallet Management und dann Approval Management, um Freigaben anzuzeigen oder zu widerrufen ^[5]. Jeder Widerruf und jede spätere neue Freigabe verbraucht Bandwidth und Energy; ohne eigene Energy verbrennt das Netzwerk TRX, um dafür zu zahlen ^[4].

Welche Token-Freigaben sollte ich widerrufen?

Widerrufen Sie jede Freigabe, die Sie nicht erklären können, jede unbegrenzte Freigabe an eine App, die Sie nicht mehr nutzen, und alles, was an eine Airdrop-, „Verifizierungs“- oder Energy-Vermietungsseite erteilt wurde ^[6][10]. Behalten Sie nur Freigaben für Dienste, die Sie nutzen und denen Sie vertrauen, und erteilen Sie sie neu, wenn Sie zu einem zurückkehren.

Die Tabelle unten fasst die häufigen Fälle zusammen. Ein einfacher Test hilft: Wenn Sie nicht sagen können, was eine berechtigte Adresse ist, sollte sie Ihr USDT nicht ausgeben können ^[10].

Achten Sie auf nachgemachte Token. Freigaben für ein gefälschtes „USDT“, das nicht der echte Tether-Vertrag ist, können Ihr echtes USDT nicht berühren ^[10]. Der echte USDT-Vertrag auf TRON ist TR7NHqjeKQxGTCi8q8ZY4pL8otSzgjLj6t; prüfen Sie diese Adresse auf der TronScan-Seite des Tokens, bevor Sie handeln.

Bitquery fand in den Diebstahlsdaten einen verwandten Trick: Mehr als die Hälfte der Adressen, die an einen Sammler zahlten, waren Bots, die Kleinstbeträge und gefälschte Token von ähnlich aussehenden Adressen schickten, eine Methode namens Address Poisoning, in der Hoffnung, dass jemand später die falsche Adresse kopiert ^[1]. Kopieren Sie eine Zieladresse immer aus einer vertrauenswürdigen Quelle, nie aus Ihrem Transaktionsverlauf.

Was tun, wenn meine Wiederherstellungsphrase offengelegt sein könnte?

Behandeln Sie die Wallet als kompromittiert: Erstellen Sie auf einem aktuellen, sauberen Gerät eine neue Wallet mit neuer Wiederherstellungsphrase, verschieben Sie den Rest und nutzen Sie die alte nicht mehr ^[1][10]. Laut Bitquery hat, wer die Seed-Phrase besitzt, das Geld und braucht weder Passwort noch Zugriff auf das Telefon ^[1].

1. Aktualisieren Sie zuerst das Telefon. Trust Wallet rät iPhone-Nutzern, die neueste für ihr Gerät verfügbare iOS-Version zu installieren und Lockdown Mode einzuschalten, falls ein Update gerade nicht möglich ist ^[2].
2. Erstellen Sie die neue Wallet und schreiben Sie die neue Wiederherstellungsphrase auf Papier. Bewahren Sie sie nicht in Fotos, Screenshots oder Notizen auf, die die Kits Coruna und DarkSword laut Trust Wallet durchsuchen ^[2].
3. Senden Sie einen kleinen Testbetrag an die neue Adresse und verschieben Sie dann den Rest. Halten Sie genug TRX für die Gebühren bereit.
4. Lassen Sie die alte Wallet leer. Geht dort neues Geld ein, können die Diebe es erneut nehmen, wie bei einer von Bitquery verfolgten Wallet geschehen ^[1].
5. Wirkt etwas verdächtig, wenden Sie sich mit Wallet-Adresse und Transaktions-Hash an den Trust-Wallet-Support; Trust Wallet sagt, es werde nie nach Ihrer Wiederherstellungsphrase fragen und nie zuerst schreiben ^[2].

Erwägen Sie für größere Guthaben eine Hardware-Wallet, direkt beim Hersteller gekauft. Wurde bereits Geld gestohlen, melden Sie das schnell Tether und jeder Börse, bei der das Geld angekommen ist, denn laut Bitquery lässt sich USDT nur einfrieren, bevor es weiterbewegt wird ^[1]. Ignorieren Sie alle, die kostenpflichtige Rückholdienste anbieten. Dies ist ein allgemeiner Sicherheitshinweis, keine Finanzberatung.

Wie erkenne ich einen gefälschten Freigabe-Checker?

Nutzen Sie nur TronScan, TronLink oder den Approvals-Tab Ihrer eigenen Wallet und tippen Sie die Adresse selbst ein, denn gefälschte „Freigabe-Checker“-Seiten sind ein bekannter Phishing-Trick, bei dem die Revoke-Schaltfläche eine neue Freigabe signiert ^[10]. Ein echter Widerruf setzt den Betrag immer auf null.

• Kein echtes Widerrufstool fragt jemals nach Ihrer Wiederherstellungsphrase oder Ihrem privaten Schlüssel. Fügen Sie diese nie in eine „Alle widerrufen“-Website ein.
• Lesen Sie vor dem Signieren Funktion und Betrag: approve mit 0 ist ein Widerruf; approve mit einer großen Zahl, eine Überweisung oder eine Rechteänderung ist keiner ^[10].
• Seien Sie misstrauisch bei Seiten für „günstige Energy“-Vermietung und Airdrops: Laut TronTransfer verlangen manche, eine Miete zu autorisieren, deren Signatur in Wahrheit eine unbegrenzte USDT-Freigabe ist ^[10].
• Prüfen Sie auf TronScan auch die Kontoberechtigungen: Manche TRON-Betrugsmaschen ändern, wer eine Adresse kontrolliert, und ein Widerruf von Freigaben macht das nicht rückgängig ^[10].
• Ignorieren Sie Direktnachrichten von allen, die sich als Trust-Wallet-Support ausgeben; Trust Wallet sagt, es schreibe nie zuerst ^[2].

Wenn Sie Geld an einen falschen Support-Mitarbeiter oder Rückholdienst verloren haben, melden Sie es der Polizei oder der Cybercrime-Stelle Ihres Landes und bewahren Sie eine Kopie der Anzeige auf. Für den größeren Zusammenhang der iPhone-Sicherheit lesen Sie What Are Passkeys? How Passwordless Sign-In Works and Why It Is Safer; dort wird erklärt, warum die Sicherheit des Telefons heute mehr als ein Konto schützt.