Token-Sicherheitscheck lesen: Mint, Proxy, Steuern, Owner-Rechte

Was ein Token-Sicherheitscheck ist

Ein Token-Sicherheitscheck liest den Smart Contract hinter einem Token und meldet, was dieser Contract seinem Owner erlaubt. Können nach dem Start neue Token erzeugt werden? Lässt sich die Logik austauschen? Behält der Contract bei jedem Trade etwas ein? Wer hält das Angebot? Der Check liest weder das Whitepaper noch die Team-Seite noch die Telegram-Gruppe. Er liest Code und On-Chain-Zustand, und genau deshalb taugt er etwas: Code lässt sich nicht schönreden.

CoinVetts Token Safety Check holt diese Daten von GoPlus Security für jeden ERC-20- oder BEP-20-Contract und sortiert sie in drei Gruppen: Contract-Sicherheit, Trading-Sicherheit und Verteilung. Jede Zeile bekommt eine von drei Marken, OK, Warnung oder Info, und nichts wird zusammengezählt. Der Trust Score mit dem Badge Sicher/Vorsicht/Riskant/Gefahr ist etwas anderes: Er steht auf den Coin-Seiten der Token, die CoinVett ohnehin beobachtet, gebaut aus denselben GoPlus-Signalen, aber mit festen Punktabzügen. Die beiden Ansichten sind sich nicht immer einig, deshalb kommen sie unten getrennt dran. Eins vorweg, weil es bestimmt, wie du alles andere liest: Der Check prüft den Contract, nicht das Projekt. Ein Ergebnis ohne Warnung heißt, keines der geprüften Signale hat angeschlagen. Ob das Produkt funktioniert oder der Token nächstes Jahr noch etwas wert ist, steht auf einem anderen Blatt.

Contract-Sicherheit: Was der Owner noch ändern kann

Diese Gruppe beantwortet eine Frage: Ist der Contract, den du heute siehst, auch der, mit dem du morgen zu tun hast?

Verifizierter Quellcode

Wer einen Contract deployt, schreibt nur den kompilierten Bytecode auf die Chain. Den kann kein Mensch lesen. Verifizieren heißt, den lesbaren Solidity-Code bei einem Block-Explorer hochzuladen, der ihn neu kompiliert und bestätigt, dass das Ergebnis zum deployten Bytecode passt. Unverifizierter Code beweist nichts Schlechtes, aber niemand außerhalb des Teams kann nachsehen, was der Contract tut. Bei einem Token, der dein Geld will, reicht das allein, um aufzuhören. Fast jedes ernsthafte Projekt verifiziert am ersten Tag; das dauert zehn Minuten.

Proxy-Contract

Ein Proxy ist ein dünner Contract, der jeden Aufruf an einen zweiten Contract weiterreicht, in dem die eigentliche Logik steckt. Der Owner kann den Proxy jederzeit auf einen neuen Logik-Contract umbiegen. Die Token-Adresse in deiner Wallet bleibt gleich; was dahinter passiert, kann sich komplett ändern. Upgradebare Proxies sind bei großen Protokollen normal, die Bugs fixen müssen (USDC etwa läuft über einen Proxy). Bei einem anonymen Memecoin bedeutet dasselbe Muster: Der heutige Scan beschreibt die heutige Logik, mehr nicht. Im Token Safety Check erscheint ein Proxy als Warnung. Im Trust Score der Coin-Seite kostet er 15 Punkte, absichtlich moderat: Das Muster ist ein Risikoverstärker, kein Urteil.

Mint-Funktion

Eine Mint-Funktion erlaubt einer berechtigten Adresse, neue Token aus dem Nichts zu erzeugen. Kann der Owner minten, kann er jeden Halter nach Belieben verwässern oder eine Milliarde Token erzeugen und in den Liquiditätspool kippen. Im Token Safety Check ist eine aktive Mint-Funktion immer eine Warnung, egal bei welchem Token. Der Trust Score der Coin-Seite behandelt sie als eines der schwersten Signale, 30 Punkte Abzug, mit einer bewussten Ausnahme. Fiat-gedeckte Stablecoins wie USDT und USDC müssen mintbar sein, weil jedes Mal neue Einheiten entstehen, wenn jemand Dollar beim Herausgeber hinterlegt. Für diese Coins markiert die Coin-Seite die Mint-Zeile als Hinweis und zieht nichts ab. Der Token Safety Check kennt diese Ausnahme nicht: Füg dort den USDT-Contract ein, und die Mint-Zeile zeigt Warnung, was auf dieser Ebene auch stimmt, denn der Contract kann minten. Der Check prüft den Contract, nicht die Reserven, und eine Mint-Funktion bei einem Stablecoin ist keine rote Flagge, sondern das Geschäftsmodell.

Owner-Rechte: Blacklist, Hidden Owner, veränderbare Guthaben, rückholbare Ownership, Transfer-Pause, veränderbare Tax, Trading-Cooldown

Sieben weitere Dinge, die ein Contract-Owner tun darf, und beide Ansichten lesen sie aus der GoPlus-Antwort. Vier davon drehen sich um die Frage, wer die Schlüssel hält. Eine Blacklist-Funktion lässt den Owner einzelne Adressen vom Transfer ausschließen; USDT hat eine und setzt sie gegen sanktionierte Wallets ein, ein Memecoin setzt sie gegen jeden ein, der verkaufen will. Hidden Owner heißt, der Contract gibt vor, die Ownership sei abgegeben, während eine andere Adresse die Rechte über einen zweiten Weg behält; die Zeile „renounced“ im Block-Explorer ist dann nichts wert. Rückholbare Ownership ist die leisere Variante: Die Ownership wurde abgegeben, aber eine Funktion erlaubt dem Owner, sie sich zurückzuholen. Am gröbsten sind veränderbare Guthaben: eine Funktion, mit der der Owner umschreiben kann, was irgendeine Wallet hält. Die anderen drei greifen in den Handel selbst ein. Eine Transfer-Pause lässt den Owner sämtliche Transfers des Tokens anhalten; solange die Pause gilt, kann niemand verkaufen, aus welchem Grund auch immer sie gesetzt wurde. Veränderbare Tax heißt, der Owner kann Buy- und Sell-Tax nach dem Start ändern; die angezeigte Tax ist dann die Tax von jetzt. Ein Trading-Cooldown erzwingt eine Mindestwartezeit zwischen zwei Trades derselben Wallet, ein Anti-Bot-Muster, das auch seriöse Launches nutzen. Transfer-Pause und veränderbare Tax sind die beiden Kontrollrechte, die der Trust Score unter seinen Daten-Deckel stellt; der Cooldown wird bewertet, liegt aber außerhalb. Im Token Safety Check stehen die sieben als eigene Zeilen in der Gruppe Verteilung: Warnung, wenn das Flag gesetzt ist, OK, wenn GoPlus es als nicht vorhanden meldet, Info, wenn GoPlus das Feld gar nicht geliefert hat. Eine achte Zeile in dieser Gruppe, die adressbezogene Tax, steht außerhalb des Scores. Sie zeigt, ob der Owner einer einzelnen Wallet eine eigene Tax geben kann; setzt er sie hoch genug an, kann genau diese Adresse nicht mehr verkaufen, alle anderen handeln weiter. Der Trust Score liest sie nicht, der Check zeigt sie trotzdem.

Der Trust Score der Coin-Seite gewichtet sie schwer. Veränderbare Guthaben kosten 40 Punkte, mehr als jedes andere Einzelsignal außer dem Honeypot; Hidden Owner und Transfer-Pause je 30, so viel wie eine aktive Mint-Funktion; rückholbare Ownership, Blacklist-Funktion und veränderbare Tax je 25. Jedes dieser sechs allein holt einen Token von 100 unter die Sicher-Grenze. Einmal durchgerechnet: Ein Token mit verifiziertem Code, ohne Mint, ohne Proxy, bei dem zehn Wallets 60 Prozent des Angebots halten und sonst nichts auffällt, steht bei 85, Sicher. Ist zusätzlich das Transfer-Pause-Flag gesetzt, steht er bei 55, Vorsicht, und die Owner-Rechte-Zeile nennt die Pause. Der Trading-Cooldown ist mit 10 Punkten der Ausreißer, das einzige Owner-Recht, das einen Token nicht im Alleingang unter Sicher drückt: 90 bei einem sonst sauberen Contract, so viel wie eine Buy-Tax zwischen 5 und 10 Prozent. Das ist mit Absicht mild. GoPlus weist selbst darauf hin, dass ein Cooldown die eigene Trade-Simulation stören kann; ein Token mit Cooldown kommt dann unter Umständen mit einer Sell-Tax von 100 Prozent zurück, die es gar nicht gibt. Die Sell-Tax-Zeile kostet obendrauf 25 Punkte, und ein Token ohne weitere Auffälligkeiten landet bei 65, Vorsicht. Siehst du eine Cooldown-Warnung neben einer Sell-Tax von 100 Prozent, lohnt ein Blick in den Block-Explorer, bevor du die Tax-Zahl für bare Münze nimmst. Die Stablecoin-Ausnahme ist dieselbe wie bei der Mint-Funktion: Bei fiat-gedeckten Stablecoins wie USDT und USDC sind das Einfrieren und Sperren von Adressen, das Pausieren von Transfers und das Anpassen von Gebühren die Art, wie der Herausgeber seine Compliance-Pflichten erfüllt. Die Coin-Seite zeigt dort einen Hinweis auf Emittenten-Kontrollen und zieht nichts ab. Der Token Safety Check kennt keine solche Ausnahme und markiert USDTs Blacklist und Transfer-Pause als Warnung, was auf seiner Ebene stimmt.

Trading-Sicherheit: Was beim Kaufen und Verkaufen passiert

Honeypot-Simulation

Der Scanner simuliert einen Kauf und einen Verkauf gegen den echten Contract. Geht der Kauf durch und der Verkauf scheitert oder wird auf null besteuert, gilt der Token als Honeypot. Das ist das härteste Signal im ganzen Bericht: eine Warnung im Token Safety Check, und auf der Coin-Seite setzt ein erkannter Honeypot den Trust Score auf null, ohne Wenn und Aber. Wie Honeypots gebaut sind, der SQUID-Fall und die fünf Contract-Muster, auf die du achten solltest, stehen in unserem Blogbeitrag Honeypot-Token erkennen. Dieser Guide wiederholt das nicht.

Buy-Tax und Sell-Tax

Viele Token verlangen bei jedem Trade eine Gebühr, fest in die Transfer-Funktion programmiert. Der Scan zeigt beide Richtungen getrennt, und auf die Asymmetrie kommt es an. 2 Prozent auf Käufe und Verkäufe finanzieren eine Marketing-Wallet; nervig, aber üblich. 0 Prozent Buy-Tax bei 35 Prozent Sell-Tax ist ein Honeypot in Zeitlupe: billig rein, teuer raus. Die beiden Ansichten ziehen die Grenze an verschiedenen Stellen. Der Token Safety Check markiert eine Gebühr erst über 10 Prozent als Warnung; alles bis dahin ist OK. Der Trust Score der Coin-Seite zieht 10 Punkte für eine Gebühr zwischen 5 und 10 Prozent ab und 25 Punkte über 10 Prozent, pro Richtung getrennt. Ein Token, der in beide Richtungen zulangt, verliert also allein über die Gebühren 50 Punkte. Eine Sell-Tax von 8 Prozent geht im Check demnach als OK durch und kostet auf der Coin-Seite 10 Punkte. Lies die Prozentzahl, nicht die Farbe. Zwei Vorbehalte. Manche Contracts lassen den Owner die Gebühr nach dem Start ändern; das ist die Zeile „veränderbare Tax“ bei den Owner-Rechten oben, und wo sie gesetzt ist, ist die angezeigte Gebühr die Gebühr von jetzt. Und meldet GoPlus gar keine Tax (ein leeres Feld, keine Null), behandelt die Coin-Seite das als Lücke, die den Score deckelt; siehe Tabelle unten.

Verteilung: Wer das Angebot wirklich hält

Anzahl Holder

Die Zahl der Adressen, die mindestens eine Einheit des Tokens halten. Unter 100 Holdern hat der Token praktisch keine Verteilung; wer ihn gestartet hat, kontrolliert weiterhin den Markt. Unter 1.000 ist dünn. Im Token Safety Check ist diese Zeile reine Info, nie eine Warnung; der Trust Score der Coin-Seite zieht unter 100 Holdern 20 Punkte ab und unter 1.000 zehn. Holder-Zahlen lassen sich mit Airdrops an zufällige Wallets leicht aufblähen, also lies sie zusammen mit der nächsten Zeile statt für sich allein.

Anteil Top-10-Holder

Wie viel vom Angebot die zehn größten Adressen kontrollieren. Über 50 Prozent kann eine Handvoll Wallets den Kurs durch Verkäufe abstürzen lassen; über 80 Prozent ist der Token ein privater Club. Der Token Safety Check warnt bei mehr als 50 Prozent; der Score der Coin-Seite zieht über 50 Prozent 15 Punkte ab und über 80 Prozent 30. Vorsicht vor Fehlalarmen: Bei einem Token mit gelocktem Liquiditätspool ist der Pool-Contract selbst meist der größte Holder, und eine Burn-Adresse oder ein Vesting-Contract kann in den Top 10 sitzen, ohne dass irgendjemand daraus verkaufen könnte. Die nackte Zahl unterscheidet nicht zwischen Wal und Lock; das musst du im Block-Explorer nachsehen.

Gelockte Liquidität

Auf einer dezentralen Börse handelst du gegen einen Liquiditätspool, den jemand befüllt hat. Kann diese Person den Pool jederzeit abziehen, kann sie den Teppich wegziehen: Liquidität raus, und der Token ist unverkäuflich. Werden die LP-Token in einem Time-Lock-Contract gesperrt oder an eine Burn-Adresse geschickt, fällt diese Option weg. Der Token Safety Check meldet, welcher Anteil der LP-Token gelockt oder verbrannt ist. Unter 50 Prozent ist eine Warnung. Liefert GoPlus keine LP-Holder-Daten, zeigt die Zeile Info mit dem Vermerk, dass nichts gemeldet wurde, nicht null und nicht grün. Diese Zeile gibt es nur im Check; in den Trust Score der Coin-Seite unten fließt sie nicht ein. Lies sie für sich.

Wie der CoinVett-Trust-Score berechnet wird

Auf Coin-Seiten, in der Marktübersicht und im Vergleich siehst du ein Badge: Sicher, Vorsicht, Riskant oder Gefahr (im englischen Interface Safe, Caution, Risky, Danger). Das ist die zweite Ansicht, und sie gibt es nur für Coins, die CoinVett beobachtet. Sie entsteht aus denselben GoPlus-Signalen, die der Token Safety Check Zeile für Zeile zeigt, als simple Subtraktion von 100, und die Regeln sind öffentlich. Der Check selbst zeigt nie einen Score. Die Coin-Seite zeigt Score und Badge, und ihre Detailzeilen tragen eigene Icons statt der OK/Warnung/Info-Marken des Checks.

Ab 80 heißt das Label Sicher, 50 bis 79 Vorsicht, 20 bis 49 Riskant, unter 20 Gefahr. Halt die Schwellen neben die Tabelle, und das oberste Label verliert seinen Glanz. Sicher beginnt bei 80, und etliche einzelne Abzüge lassen einen Token genau dort stehen: Zehn Wallets mit 61 Prozent des Angebots, 85, Sicher. Eine Buy-Tax von 8 Prozent, 90, Sicher. Ein Proxy allein kostet 15 Punkte, rechnerisch blieben also 85; in der Praxis liefert GoPlus für einen Proxy-Contract aber nur selten die Owner- und Mint-Felder, sodass die meisten Proxies stattdessen im Daten-Deckel bei 75 hängen. Unverifizierter Quellcode kostet 20 Punkte, rechnerisch blieben also 80, aber auch so weit kommt es nie: Für einen Closed-Source-Contract liefert GoPlus keines der anderen Risikofelder, der Token läuft also ohnehin in den Daten-Deckel bei 75. Die Signale, die einen Token im Alleingang unter 80 drücken, sind die schweren: ein Honeypot, jedes der vier Owner-Rechte, eine Transfer-Pause, eine veränderbare Tax, eine aktive Mint-Funktion, eine Buy- oder Sell-Tax über 10 Prozent oder zehn Wallets mit mehr als 80 Prozent des Angebots. „Sicher“ heißt also nicht, dass der Contract jede Prüfung bestanden hat. Es heißt, dass die bekannten Signale zusammen weniger als 21 Punkte gekostet haben und dass zehn bestimmte Felder tatsächlich gemeldet wurden: die Honeypot-Simulation, die Mint-Prüfung, die vier Owner-Rechte, die Prüfungen auf Transfer-Pause und veränderbare Tax sowie Buy- und Sell-Tax. Dieser zweite Teil ist der Deckel in den letzten beiden Zeilen: Hat GoPlus eines dieser zehn Felder leer gelassen, wird der Score bei 75 gedeckelt, und das Badge zeigt höchstens Vorsicht, egal wie sauber der Rest aussieht. Holder-Daten, Proxy, Quellcode und der Trading-Cooldown stehen außerhalb des Deckels: Fehlen sie, gibt es keinen Abzug. Fiat-gedeckte Stablecoins sind vom Mint-, Owner-Rechte-, Kontrollrechte- und Tax-Teil des Deckels ausgenommen, weil diese Rechte dort dokumentiertes Emittenten-Design sind; der Honeypot-Deckel gilt für sie wie für alle anderen. Die schlechten Labels entstehen meist aus Kombinationen, und genau so sehen echte Rug Pulls aus (Proxy plus aktive Mint-Funktion plus konzentrierte Holder); dafür ist der Score gebaut. Wofür er nicht gebaut ist: als Garantie.

Die Label-Namen sind absichtlich deutlich, also lies sie eng. Ein Sicher-Badge heißt „die Signale im letzten Scan ergaben zusammen 80 oder mehr, und die Felder unter dem Deckel wurden gemeldet“, nicht mehr; bei einem fiat-gedeckten Stablecoin schrumpft dieser Deckel auf die Honeypot-Simulation. Das Badge kann auf einem Token sitzen, bei dem zehn Wallets 61 Prozent des Angebots halten, oder auf einem, der 8 Prozent Buy-Tax verlangt. Ein Gefahr-Badge heißt, der Score ist unter 20 gelandet, und dafür braucht es nicht mehrere Warnsignale auf einmal: Ein erkannter Honeypot allein zieht 100 Punkte ab. Beides ist keine Empfehlung für oder gegen irgendetwas, und beides sagt nichts über den Kurs.

Unbekannt ist nicht grün

GoPlus liefert nicht für jeden Contract jedes Feld. Ganz frische Token, exotische Chains und Contracts mit ungewöhnlichem Aufbau kommen mit Lücken zurück. Im Token Safety Check erscheinen diese Lücken als Info mit dem Vermerk, dass keine Daten gemeldet wurden; eine fehlende Honeypot-Simulation wird dort nie als grünes OK gezeichnet. Das ist wichtiger, als es klingt: Ein Scanner, der „keine Daten“ stillschweigend als „kein Problem“ behandelt, produziert grüne Ergebnisse für genau die Token, die den genauesten Blick verdienen, nämlich die, die vor einer Stunde gestartet sind. Siehst du Info in der Honeypot-Zeile oder der Liquiditätszeile, behandle den Token als ungeprüft.

Der Trust Score der Coin-Seite geht mit Lücken zweistufig um. Ein fehlendes Feld kostet keine Punkte, weil der Score nur abzieht, was er sieht. Bei den Feldern aber, die über Verkaufbarkeit und Kontrolle entscheiden, sagt er ohne Beleg nicht Sicher: Hat GoPlus die Honeypot-Simulation, die Mint-Prüfung, eines der vier Owner-Rechte-Felder, die Prüfung auf Transfer-Pause oder veränderbare Tax oder einen der beiden Tax-Werte nicht gemeldet, wird der Score bei 75 gedeckelt, höchstens Vorsicht, und die Coin-Seite zeigt einen Hinweis, der die fehlenden Daten benennt. Lücken bei Proxy, Quellcode, Holdern und Cooldown lösen den Deckel nicht aus; sie kosten schlicht nichts. Fiat-gedeckte Stablecoins sind von allen Teilen der Regel ausgenommen, nur nicht vom Honeypot-Teil. Bei jedem Token, der kein fiat-gedeckter Stablecoin ist, sagt dir ein Sicher-Badge also zwei Dinge: Diese zehn Felder wurden gemeldet, und was der Scan darin gefunden hat, kostete zusammen höchstens 20 Punkte. Gemeldet heißt nicht sauber: Eine Buy- und Sell-Tax von je 8 Prozent erscheint als zwei Funde und landet trotzdem bei 80, Sicher. Bei USDT oder USDC bürgt das Badge nur für die Honeypot-Simulation, weil die Mint- und Owner-Rechte-Zeilen dort als Emittenten-Design gelesen werden, egal was drinsteht, und eine fehlende Tax-Zahl dem Herausgeber ebenfalls nicht angelastet wird. Ein Vorsicht-Badge auf einem sonst makellosen Token kann einfach heißen, dass GoPlus eines der zehn Felder leer gelassen hat. Ein Vorsicht-Badge auf einem Token, dem nur die Tax-Zahlen fehlen, ist genau dieser Fall: GoPlus konnte die Gebühr nicht messen, also bürgt die Seite nicht dafür. Welcher Fall vorliegt, steht im Hinweis unter dem Badge. Wenn dir ein Coin wichtig ist, jag seinen Contract zusätzlich durch den Token Safety Check und achte auf Info-Marken in der Trading- und der Verteilungsgruppe.

Was der Check nicht sieht

• Absichten. Ein Contract mit aktiver Mint-Funktion kann zu einem seriösen Projekt gehören, das nur noch nicht renounced hat, oder zu einem Scam, der auf Volumen wartet. Der Code sieht identisch aus.
• Off-Chain-Versprechen. „Liquidität wird nächste Woche gelockt“ steht erst on-chain, wenn es passiert ist.
• Künftige Upgrades. Ist der Contract ein Proxy, ist die nächste Version noch nicht geschrieben.
• Das Produkt. Ein blitzsauberer Contract kann zu einem Projekt ohne Nutzer, ohne Umsatz und ohne Plan gehören. Contract-Sicherheit und Projektqualität sind zwei verschiedene Fragen.
• Native Coins. BTC, ETH und SOL haben keinen Token-Contract. Der Check deckt ERC-20- und BEP-20-Token per Adresse ab; bei Coins aus CoinVetts Datenbank können auch Polygon- und Arbitrum-Contracts auftauchen.

Einen Scan lesen: vier Beispiele

Beispiel eins. Verifizierter Quellcode, kein Proxy, kein Mint, alle sieben Owner-Rechte-Felder als nicht vorhanden gemeldet, die adressbezogene Tax ebenfalls als nicht vorhanden gemeldet, Honeypot-Simulation sauber, 1 Prozent Gebühr in beide Richtungen, 40.000 Holder, Top 10 bei 22 Prozent, 100 Prozent der Liquidität gelockt. Im Check nichts als OK- und Info-Marken. Auf einer Coin-Seite Score 100, Label Sicher, und kein Deckel, weil alle zehn Deckel-Felder gemeldet wurden. So sieht ein etablierter DEX-Token auf dem Papier aus. Es sagt dir, dass keines der fünfzehn bewerteten Signale angeschlagen hat. Es sagt dir nicht, dass der Contract harmlos ist: GoPlus liefert Felder, die der Score nicht liest, etwa ein Anti-Whale-Limit oder eine adressbezogene Tax, und keines davon bewegt den Score. Das Anti-Whale-Limit taucht auch im Check nicht auf; die adressbezogene Tax schon, aber nur als eigene Zeile. Ob der Token es wert ist, gehalten zu werden, ist ebenfalls eine andere Frage, die der Scan nicht beantwortet.

Beispiel zwei. Verifizierter Quellcode, Proxy, Mint aktiv, 0 Prozent Gebühr, 800 Holder, Top 10 bei 61 Prozent, Liquidität unbekannt. Score 100 − 15 − 30 − 10 − 15 = 30, Label Riskant. Nichts davon ist für sich allein ein Beweis. Zusammen beschreiben sie einen Token, bei dem eine Partei die Regeln ändern, Angebot drucken und in einen Markt verkaufen kann, den sie dominiert. Drei Tage nach dem Start ist das das Profil der meisten Token, die später auf null gehen.

Beispiel drei. USDT auf Ethereum, und zwei verschiedene Lesarten, je nachdem, wo du hinschaust. Auf der Tether-Coin-Seite trägt die Mint-Zeile einen Hinweis statt einer Warnung, und der Trust Score zieht nichts ab, weil Tether ein fiat-gedeckter Stablecoin ist und neue Einheiten auszugeben sein Geschäftsmodell ist. Dasselbe gilt für die Blacklist-Funktion, die Transfer-Pause, die veränderbare Tax und für das Recht des Owners, Wallet-Guthaben umzuschreiben: Die Coin-Seite führt all das unter Emittenten-Kontrollen, als Information, ohne Abzug. Füg denselben Contract in den Token Safety Check ein, und die Mint-Zeile zeigt Warnung, die Zeilen für Blacklist, Transfer-Pause, veränderbare Tax und Guthaben ebenfalls: Der Check weiß nicht, was ein Stablecoin ist, er sieht einen Contract, der minten, Adressen einfrieren, Transfers anhalten, seine Gebühr ändern und Guthaben umschreiben kann, und sagt das. Beides stimmt auf seiner Ebene. Würde die Coin-Seite USDTs Mint-Funktion, Blacklist, Transfer-Pause, veränderbare Tax und Guthaben-Kontrolle wie die eines Memecoins behandeln, verlöre der meistgenutzte Token der Kryptowelt allein über diese fünf Zeilen 150 Punkte (30, 25, 30, 25 und 40) und landete auf Gefahr. Das würde dir sagen, dass das Scoring kaputt ist, nicht, dass USDT gefährlich ist. Alle anderen Zeilen liest du genau wie bei jedem anderen Token.

Beispiel vier, das Sicher, das nicht sauber ist. Verifizierter Quellcode, kein Proxy, kein Mint, alle sieben Owner-Rechte-Felder als nicht vorhanden gemeldet, Honeypot-Simulation sauber, 0 Prozent Gebühr in beide Richtungen, 12.000 Holder, Top 10 bei 64 Prozent. Score 100 − 15 = 85, Label Sicher. Zehn Wallets halten knapp zwei Drittel des Angebots, und das Badge ist grün. Können diese Adressen frei verkaufen, bewegen sie den Kurs nach Belieben; sind es Locks, kann niemand daraus verkaufen, und dieselben 64 Prozent bedeuten etwas völlig anderes. Merk dir dieses Beispiel, wann immer das Label beruhigend aussieht: Der Score zählt, was er kennt, und konzentrierte Holder kosten genau 15 Punkte, zu wenig, um das Badge zu kippen. Kommt ein weiteres Signal dazu, etwa eine Buy-Tax von 8 Prozent, fällt derselbe Token auf 75, Vorsicht. Im Token Safety Check zeigt derselbe Contract eine gelbe Warnung in der Zeile „Anteil Top-10-Holder“ und gar keinen Score, und du würdest es merken. Das Profil ist nicht ausgedacht: Bei etablierten Token sind die Top 10 oft eine Mischung aus Exchange-Wallets, Treasury-Wallets, Vesting-Contracts und Burn-Adressen, und nur ein Teil davon kann überhaupt verkaufen. Der Score unterscheidet das nicht; ein Blick auf die Adressen im Block-Explorer schon. Unverifizierter Quellcode kann dieses Bild übrigens nicht erzeugen, und die meisten Proxy-Contracts auch nicht: Für einen Closed-Source-Contract liefert GoPlus keines der anderen Risikofelder, für einen Proxy nur selten die Owner- und Mint-Felder, also laufen beide in den Daten-Deckel bei 75, bevor ihr eigener Abzug überhaupt ins Spiel kommt.

Probier das selbst: Adresse in den Token Safety Check einfügen, Chain wählen, von oben nach unten lesen. Erst Trading-Sicherheit, dann Contract-Sicherheit, dann Verteilung. Eine Warnung oder eine Info-Marke in der Trading-Gruppe beendet die Übung.

Häufige Fragen

Ist ein „Sicher“-Label ein Grund zu kaufen?

Nein. Das Label ist eine Zahl: Die bekannten Signale des letzten Scans, von 100 abgezogen, landeten bei 80 oder darüber. Das verträgt sich mit einer Buy-Tax von 8 Prozent oder zehn Wallets, die 61 Prozent des Angebots halten, solange nur eines davon zutrifft. Es bewertet weder Projekt noch Team noch Markt noch Kurs, und CoinVett gibt keine Kauf- oder Verkaufsempfehlungen.

Warum bekommt ein seriöser Token eine Warnung?

Meist wegen eines Proxys oder einer Mint-Funktion, die das Team nicht abgegeben hat, weil ein Vesting-Contract in den Top-10-Holdern sitzt, oder weil der Contract Transfers pausieren kann, ein Recht, das sich viele zentral geführte Token für Notfälle vorbehalten; der Scan meldet das Recht, nicht die Absicht. Die Warnung ist korrekt: Diese Muster existieren. Ob sie ein Problem sind, hängt davon ab, wer sie kontrolliert, und das ist eine Frage für den Block-Explorer, nicht für den Scan.

Woher kommen die Daten?

Von GoPlus Security, einem Anbieter für On-Chain-Sicherheitsdaten, der Trades simuliert und Contract-Berechtigungen für Token auf Ethereum und BNB Smart Chain ausliest. Coins, die CoinVett bereits beobachtet, werden aus der eigenen Datenbank aktualisiert; unbekannte Adressen werden live gescannt und 24 Stunden zwischengespeichert. Die Datenquelle steht bei jedem Ergebnis dabei.

Wie oft sollte ich einen Token neu scannen?

Vor jedem Kauf und nach jedem angekündigten Contract-Upgrade. Ein Proxy-Token kann seine Logik zwischen zwei Scans ändern; ein Team kann nach dem Start die Ownership abgeben oder Liquidität locken. Das Ergebnis von letzter Woche beschreibt den Contract von letzter Woche.

Hinweis: Security-Signale beschreiben das On-Chain-Verhalten eines Contracts, nicht die Qualität oder Aussichten eines Projekts. Nichts auf dieser Seite ist eine Anlageberatung.

Verwandte Guides

• Honeypot-Token erkennen
• Krypto-Betrug erkennen
• Krypto-Sicherheit
• Was sind Altcoins?