Ist Rabby Wallet sicher?

Die kurze Antwort

Die echte Rabby Wallet, aus den offiziellen Stores installiert, ist eine solide Wahl für die tägliche EVM-Nutzung, und ihre Prüfungen vor dem Signieren machen sie in der Praxis sicherer als viele andere Wallets. „Sicher“ hängt mehr davon ab, wie Sie sie nutzen, als von der Wallet: Ein gefälschter Download, eine auf einer Website eingegebene Seed-Phrase oder eine unbegrenzte Freigabe an einen Drainer-Contract leeren jede Wallet. Für größere Beträge kombinieren Sie Rabby mit einer Hardware-Wallet.

Wie Rabby Ihre Schlüssel schützt

• Selbstverwahrung. Ihre Seed-Phrase und Ihre Private Keys werden auf Ihrem Gerät erzeugt und mit Ihrem Passwort verschlüsselt gespeichert. Rabbys Server halten sie nicht.
• Lokales Passwort. Das Passwort entsperrt die Wallet nur auf diesem Gerät. Es ist kein Kontopasswort und kann Ihr Guthaben anderswo nicht wiederherstellen. Haben Sie es vergessen, stellen Sie die Wallet aus der Seed-Phrase wieder her (siehe Rabby-Passwort vergessen).
• Option Hardware-Wallet. Mit einem Ledger, Trezor, Keystone oder ähnlichen Gerät berühren die Schlüssel nie Ihren Computer oder Ihr Smartphone; Rabby bereitet nur Transaktionen vor, die das Gerät signiert. Siehe Hardware-Wallets in Rabby.
• Prüfungen vor dem Signieren. Rabby simuliert jede Transaktion, zeigt die erwarteten Saldoänderungen und warnt vor riskanten Freigaben, unbekannten Empfängern und verdächtigen Contracts. Siehe Transaktionssimulation.

Open Source

Der Quellcode der Erweiterung ist auf GitHub unter der MIT-Lizenz öffentlich, und der Code der mobilen App liegt öffentlich in einem eigenen Repository (laut CryptoSlate, Oktober 2026, ohne Lizenzdatei). Öffentlicher Code erlaubt Forschern zu prüfen, wie Schlüssel gespeichert werden. Er beweist für sich allein nicht, dass der Build im Store dem Code entspricht; deshalb zählen auch Audits und eine lange Erfolgsbilanz.

Audits

Rabby bewahrt seine Audit-Berichte im Ordner audits seines GitHub-Repositorys auf, und Least Authority veröffentlicht seine Berichte auf der eigenen Website.

Quellen: Audit-Seiten von Least Authority; Rabbys Audit-Ordner auf GitHub; Test von CryptoSlate (aktualisiert am 24. Oktober 2026). Die Befunde der Berichte von 2026 haben wir nicht zusammengefasst, weil wir sie nicht vollständig lesen konnten. Ein Audit ist eine Prüfung des Codes zu einem Zeitpunkt, keine Garantie. Ungelöste Befunde bedeuten, dass die Prüfer Verbesserungspotenzial sahen, das Rabby bei Veröffentlichung des Berichts noch nicht umgesetzt hatte; sie bedeuten nicht, dass Guthaben durch einen bekannten Exploit gefährdet war.

Der Rabby-Swap-Exploit vom Oktober 2022

Rabby Swap startete am 14. September 2022. Am 11. Oktober 2022 nutzte ein Angreifer eine Schwachstelle im Swap-Contract aus, die es ihm erlaubte, auf mehreren Chains Token von Nutzern zu bewegen, die den Contract freigegeben hatten (The Block, 11. Oktober 2022). Die gemeldeten Verluste lagen bei etwa 114 ETH und 179 BNB, damals rund 200.000 US-Dollar (Web3 Is Going Great; CryptoSlate). Der Contract war von PeckShield auditiert worden, das die Schwachstelle übersehen hatte.

Rabby forderte alle, die Swap genutzt hatten, auf, sämtliche Freigaben auf allen Chains zu widerrufen, und erklärte, Wallets, die Swap nie genutzt hatten, seien nicht betroffen. Private Keys waren nicht betroffen. Einige spätere Tests geben an, die Opfer seien entschädigt worden, doch Rabbys ursprüngliche Erklärung dazu konnten wir nicht finden. Der alte Contract kann nicht pausiert werden, daher bleibt jede Freigabe, die noch auf ihn zeigt, riskant. Die Lehre gilt für jede Wallet: Eine Freigabe an einen Contract bleibt offen, bis Sie sie widerrufen. Prüfen Sie Ihre mit dem Freigabe-Erklärer und widerrufen Sie alte Freigaben. Weitere Ereignisse stehen in der Rabby-Sicherheitshistorie.

Silent-Signature-Bug, August 2026

Im August 2026 legte der Sicherheitsforscher V12 eine Schwachstelle in der Erweiterung offen: Eine bösartige Seite, mit der Sie bereits verbunden waren, konnte eine Signatur erhalten, ohne dass Sie es sahen, allerdings nur, wenn Ihre automatische Sperre auf 10 Minuten eingestellt war. Rabbys Code-Fix stellte sicher, dass eine ausstehende Signaturanfrage nicht mehr allein durch das Entsperren der Wallet bestätigt werden konnte. Die korrigierte Erweiterung erschien am 11. August 2026; die mobile App war nicht betroffen, und eine Ausnutzung wurde nicht gemeldet (TechFlow, 20. August 2026; Rabby GitHub). Halten Sie Rabby aktuell.

Im September 2025, während eines großangelegten Angriffs auf populäre JavaScript-Pakete, erklärte Rabby, die Wallet sei nicht betroffen, weil sie ihre Abhängigkeiten auf feste Versionen fixiert (Rabby auf X, 9. September 2025, zusammengefasst von IQ.wiki).

Das größere Risiko: gefälschte Rabby-Wallets

Identitätsbetrug verursacht weit mehr Verluste rund um Rabby als Bugs:

• Gefälschte App-Store-App (Februar 2024). Eine App namens „Rabby Wallet & Crypto Solution“ eines Entwicklers namens „Solution Development“ stahl Seed-Phrasen, bevor Rabbys echte iOS-App erschien. Rabby warnte die Nutzer am 16. Februar 2024 (ForkLog).
• Gefälschte Firefox-Add-ons (2025 und 2026). Forscher von Socket fanden 13 modifizierte Rabby-Builds unter 40 bösartigen Firefox-Add-ons, die Wallet-Daten an Angreifer schickten (The Hacker News, 20. August 2026), und im Oktober 2026 vier weitere Rabby-Klone. Rabby hat kein offizielles Firefox-Add-on.
• Gefälschte Websites. Suchergebnisse zu Rabby sind voller ähnlich aussehender Download-Seiten auf kostenlosem Hosting, Kursplattformen und gehackten Websites.

Details und Schritte zur Schadensbegrenzung: Betrug mit gefälschten Rabby-Wallets.

Warnsignale im Signaturfenster

Rabbys Pop-up liefert Ihnen die Informationen; lesen müssen Sie sie trotzdem. Brechen Sie ab und lehnen Sie ab, wenn Sie Folgendes sehen:

• Token, die unerwartet abfließen, zum Beispiel ein „Free Mint“ oder „Claim“, bei dem Ihr ETH oder Ihre Stablecoins abgehen.
• Eine Freigabe oder ein Permit für einen Token, den Sie gar nicht handeln, besonders für einen unbegrenzten Betrag oder an einen Spender, den Rabby als neu oder riskant markiert.
• Eine „Set approval for all“-Anfrage für eine NFT-Kollektion auf einer Seite, die Sie nicht kennen. Sie übergibt damit jedes NFT dieser Kollektion.
• Eine Off-Chain-Signatur (Permit), die Sie nicht verstehen. Das Signieren einer Nachricht kann einen Transfer autorisieren, ohne dass in diesem Moment Gas anfällt.
• Ein Erstempfänger bei einer Adresse, die Sie schon genutzt zu haben glaubten. Das ist das klassische Zeichen für Address Poisoning; vergleichen Sie die vollständige Adresse mit dem Adress-Check.
• Eine Seite, die nicht die ist, die Sie besuchen wollten. Prüfen Sie die in der Anfrage angezeigte Domain.

Ehrliche Grenzen

• Es ist eine Hot Wallet. Die Schlüssel liegen auf einem Gerät mit Internetverbindung. Malware auf Ihrem Computer oder Smartphone oder eine bösartige Browser-Erweiterung kann sie trotzdem stehlen.
• Risiko Browser. Jede andere Erweiterung, die Sie installieren, kann Webseiten lesen und verändern, und manche können von Angreifern übernommen werden. Halten Sie die Zahl Ihrer Erweiterungen klein.
• Warnungen lassen sich ignorieren. Rabby lässt Sie trotz Warnungen signieren, und Blind Signing ist bei ungewöhnlichen Transaktionen weiterhin möglich.
• Die Simulation hat Grenzen. Sie zeigt, was jetzt passieren würde; sie kann nicht vorhersagen, was ein freigegebener Contract später tut, und läuft womöglich nicht auf jedem benutzerdefinierten Netzwerk.
• Schwache Passwörter schwächen die lokale Verschlüsselung. Nutzen Sie ein langes, einzigartiges Passwort.

So nutzen Sie Rabby sicher

1. Installieren Sie nur aus den offiziellen Stores. Tippen Sie rabby.io selbst ein oder nutzen Sie ein Lesezeichen, und prüfen Sie die Erweiterungs-ID acmacodkjbdgmoleebolmdjonilkdbch mit dem Prüf-Tool.
2. Schreiben Sie Ihre Seed-Phrase auf Papier oder Metall und bewahren Sie sie offline auf. Siehe Seed-Phrase sichern.
3. Geben Sie Ihre Seed-Phrase niemals auf einer Website, in einem Chat oder Formular ein. Rabby und DeBank fragen nie danach, und echter Support schreibt Sie nie zuerst per DM an.
4. Lesen Sie bei jeder Signatur die Vorschau der Saldoänderungen. Brechen Sie ab, wenn unerwartet Token abfließen.
5. Vermeiden Sie unbegrenzte Freigaben und widerrufen Sie alte regelmäßig.
6. Nutzen Sie für Ersparnisse eine Hardware-Wallet und halten Sie nur Ausgabegeld in einem Hot-Konto.
7. Halten Sie Browser und Rabby aktuell und entfernen Sie Erweiterungen, die Sie nicht brauchen.

Häufig gestellte Fragen