Nach einer verdächtigen Signatur müssen Payload, aktive Approvals, Sessions und Asset-Bewegungen bestimmt werden. Vernichte keine Evidenz und signiere nichts Neues im möglicherweise kompromittierten Context.
Dieses Konzept ist wichtig, weil Bewahre Hashes, Payloads, Domains und Timestamps auf.
Prüfe die exakten Protokollfelder, die Autorität erzeugen oder die Ausführung verändern. Vergleiche diese Felder mit der erklärten Nutzerabsicht und der erwarteten Sicherheitsgrenze.
Prüfe die exakten Protokollfelder, die Autorität erzeugen oder die Ausführung verändern.
Auf Protokoll- und Ausführungsebene sind zu prüfen detect und scope und contain und preserve und prioritize. Protokollbezeichner bleiben unübersetzt, weil sie Teil des technischen Payloads sind.
detectTechnische Prüfpunkte
scopeTechnische Prüfpunkte
containTechnische Prüfpunkte
preserveTechnische Prüfpunkte
prioritizeTechnische Prüfpunkte
Behandle Widersprüche, übermäßige Autorität und ungeklärte Abhängigkeiten als materielle Fehlersignale.
Die praktische Folge ist, dass Führe Remediation nach Möglichkeit aus einer bekannten sauberen Umgebung durch. Unbekannt ist nicht gleich sicher.
Übersetze jedes materielle Signal in die konkrete Folge für Assets, Autorität oder Vertrauen.
Die praktische Folge ist, dass Führe Remediation nach Möglichkeit aus einer bekannten sauberen Umgebung durch.
Eskaliere bei widersprüchlicher oder unvollständiger Evidenz oder wenn die Konsequenz die Routine-Policy übersteigt.
Verifiziere die Anfrage mit unabhängiger Evidenz vor jeder irreversiblen Autorisierung.
Prüfe die exakten Protokollfelder, die Autorität erzeugen oder die Ausführung verändern.
Vergleiche diese Felder mit der erklärten Nutzerabsicht und der erwarteten Sicherheitsgrenze.
Verifiziere die Anfrage mit unabhängiger Evidenz vor jeder irreversiblen Autorisierung.
Dokumentiere Fakten, Annahmen, Unbekanntes und Entscheidung, damit ein anderer Analyst die Prüfung reproduzieren kann.
Eskaliere bei widersprüchlicher oder unvollständiger Evidenz oder wenn die Konsequenz die Routine-Policy übersteigt.
Dokumentiere Fakten, Annahmen, Unbekanntes und Entscheidung, damit ein anderer Analyst die Prüfung reproduzieren kann.
Bewahre Hashes, Payloads, Domains und Timestamps auf. und Führe Remediation nach Möglichkeit aus einer bekannten sauberen Umgebung durch.
Bewahre Hashes, Payloads, Domains und Timestamps auf.
identify suspicious eventwhat accounts/sessions/approvals affectedstop further authorityretain evidenceassets at immediate risk firstpanic transactions
evidence deleted
wallet remains connected
active approvals unknown
compromised device reused
freeze risky activity
capture transaction/signature evidence
disconnect sessions
enumerate approvals/assets
choose containment actions by exposure
Fakten → materielle Evidenz
Evidenz → Konsequenz / Autorität
Konsequenz → explizite Entscheidung + nächste Aktion
incident triage worksheetincident / triage
Am 22. August 2023 veröffentlichte Balancer eine kritische Schwachstelle in bestimmten Pools. Die Emergency SubDAO hatte bereits über 80 % der betroffenen Liquidität mitigiert und proportionale Exits ermöglicht.
critical vulnerability in selected poolsmore than 80% of affected liquiditypause + proportional exitapproximately 4% of Balancer TVL at disclosureIncident Response beginnt bei glaubwürdiger Evidenz bereits vor einer Ausnutzung.
Welche Evidenzschwelle aktiviert Notfallkontrollen und wie trennst du mitigierte, pausierbare und weiterhin gefährdete Assets?
unexpected Permit2 signatureunknownyespossiblenot enumeratedURL + timestamp + signature availableIdentifiziere vor der Antwort die gewährte Autorität, die ausfallende Trust Boundary und die irreversible Konsequenz.
Trenne Identität, Autorität, Ausführung und Kontext vor der Sicherheitsentscheidung.
Wer oder was fordert, erhält oder repräsentiert Autorität?
yesWelche Fähigkeit kann gewährt, behalten oder ausgeübt werden?
not enumeratedWas wird Payload, Route oder System tatsächlich tun?
Welche Umgebungsfakten können die Entscheidung materiell ändern?
unexpected Permit2 signatureunknownpossibleURL + timestamp + signature availableAntworte nicht aus dem Gedächtnis. Nutze Fall, Protokollfelder und Prüfverfahren oben, um einen reproduzierbaren Befund zu schreiben.
Bewahre Hashes, Payloads, Domains und Timestamps auf.
Führe Remediation nach Möglichkeit aus einer bekannten sauberen Umgebung durch.
Halte deine Begründung vor dem Checkpoint fest und schließe mit einer expliziten Entscheidung oder nächsten Aktion ab. Notizen bleiben auf diesem Gerät.
Entwickle alle drei Abschnitte vor dem Abschluss.
Dieses Modul vertieft Incident Response für Wallets mit angewandter Theorie und einem eigenen Entscheidungs-Lab.