Wie verbinde ich Rabby Wallet mit einer dApp, ohne unnötige Berechtigungen zu genehmigen?

Rabbys Berechtigungsmodell verstehen

1. Rabby Wallet gewährt bei der Verbindung keine automatischen Berechtigungen – jede Zugriffsanfrage muss vom Benutzer ausdrücklich bestätigt werden.

2. Wenn eine dApp eine Verbindung initiiert, zeigt Rabby ein Modal an, das die anfordernde Domäne, den angeforderten Kontobereich und den Netzwerkkontext (z. B. Ethereum Mainnet oder BSC Testnet) anzeigt.

3. Das Wallet unterscheidet zwischen schreibgeschützten Aktionen (wie das Abrufen des Guthabens) und zustandsändernden Vorgängen (wie das Signieren von Transaktionen), die jeweils eine separate Zustimmung erfordern.

4. Berechtigungen sind sitzungsgebunden: Sie verfallen, wenn der Browser-Tab geschlossen wird oder wenn der Benutzer die Verbindung manuell über Rabbys Benutzeroberfläche trennt.

5. Rabby erzwingt eine strikte Ursprungsvalidierung – es lehnt Anfragen von Iframes, Cross-Origin-Weiterleitungen oder nicht übereinstimmenden Hostnamen ab, selbst wenn die URL optisch ähnlich erscheint.

Schritt-für-Schritt-Verbindung ohne übermäßige Berechtigungen

1. Navigieren Sie direkt zur verifizierten Domäne der dApp – klicken Sie niemals auf Links von Direktnachrichten, E-Mails oder Aggregatoren von Drittanbietern.

2. Klicken Sie auf „Wallet verbinden“ und wählen Sie Rabby aus der Wallet-Liste aus – stellen Sie sicher, dass keine anderen injizierten Wallets im selben Browserprofil aktiv sind.

3. Überprüfen Sie im Rabby-Popup, ob der genaue Hostname mit dem in der Adressleiste Ihres Browsers übereinstimmt – einschließlich Subdomain und TLD.

4. Lehnen Sie alle Anfragen mit den Bezeichnungen „Alle Token genehmigen“, „Unbegrenzte Berechtigung“ oder „Voller Vertragszugriff“ ab, es sei denn, Sie haben den Code der dApp geprüft und verstehen die Auswirkungen.

5. Verwenden Sie Rabbys integrierten Berechtigungsschalter, um den Zugriff nur auf das spezifische Konto und Netzwerk zu beschränken, das benötigt wird – vermeiden Sie die Auswahl „Alle Konten“ oder „Alle Netzwerke“.

Erkennen riskanter Erlaubnisaufforderungen

1. Eine Aufforderung zur gleichzeitigen Genehmigung von mehr als drei ERC-20-Tokens ist höchst ungewöhnlich und rechtfertigt eine sofortige Ablehnung.

2. Jede Signaturanfrage, die rohe Hex-Daten ohne für Menschen lesbare Beschreibung enthält, sollte als verdächtig behandelt werden.

3. Rabby kennzeichnet nicht standardmäßige Vertragsinteraktionen mit einem roten Warnsymbol – überschreiben Sie dieses nicht, es sei denn, Sie haben die Vertragsadresse auf Etherscan oder Blockchair validiert.

4. Wenn die Eingabeaufforderung „Gasschätzung fehlgeschlagen“ neben einem ungewöhnlich hohen Gasgrenzwert (>500.000) anzeigt, kann dies auf einen Wiedereintritt oder einen Endlosschleifenversuch hinweisen.

5. Anfragen von localhost oder 127.0.0.1 ohne vorherige lokale Entwicklungseinrichtung sollten vollständig blockiert werden.

Aktive Verbindungen verwalten

1. Öffnen Sie die Rabby-Erweiterung → klicken Sie auf das Zahnradsymbol → gehen Sie zu „Verbundene Sites“, um alle derzeit autorisierten Domänen anzuzeigen.

2. Jeder Eintrag zeigt den zuletzt verwendeten Zeitstempel, das Netzwerk und die gewährten Bereiche an – widerrufen Sie alle mit „Lesen + Signieren“, wenn nur Kontostandprüfungen beabsichtigt waren.

3. Rabby unterstützt den Widerruf von Berechtigungen pro Site – durch Klicken auf „Entfernen“ wird der gesamte Zugriff getrennt, ohne dass dies Auswirkungen auf andere Verbindungen hat.

4. Die Einstellung „Unbekannte Websites automatisch ablehnen“ kann in den Datenschutzeinstellungen aktiviert werden, um unbefugte Verbindungsversuche stillschweigend zu blockieren.

5. Metadaten der verbundenen Site werden lokal in IndexedDB gespeichert – während des Verbindungsflusses wird keine serverseitige Protokollierung oder Telemetrie übertragen.

Häufig gestellte Fragen

F: Speichert Rabby meinen privaten Schlüssel, wenn ich mich mit einer dApp verbinde? Nein. Rabby überträgt oder speichert niemals private Schlüssel auf Remote-Servern. Alle kryptografischen Vorgänge erfolgen innerhalb der Browser-Sandbox mithilfe der Web Crypto API.

F: Kann eine dApp meinen Transaktionsverlauf sehen, nachdem ich eine Verbindung hergestellt habe? Nur wenn Sie einer Anfrage zum Abrufen vergangener Transaktionen über eth_getLogs oder ähnliche RPC-Methoden ausdrücklich zustimmen, stellt Rabby standardmäßig keine historischen Daten zur Verfügung.

F: Warum fragt Rabby bei der ersten Verbindung nach der Berechtigung „Nachricht signieren“? Dies dient ausschließlich der Überprüfung der Domänenbindung. Die Nachricht enthält eine kryptografisch signierte Nonce, die an den aktuellen Hostnamen gebunden ist und innerhalb von 60 Sekunden abläuft.

F: Ist es sicher, Rabby gleichzeitig mit mehreren dApps verbunden zu halten? Ja, sofern jede Verbindung einzeln überprüft wurde. Rabby isoliert Berechtigungen pro Ursprung – keine dApp erhält Einblick in die genehmigten Bereiche einer anderen.