Ethereum Clear Signing erklärt: So soll ERC-7730 blinde Wallet-Freigaben ersetzen

Die Ethereum Foundation framed das nicht nur als Komfortproblem, sondern als strukturelle Schwachstelle. In ihrer Clear-Signing-Ankündigung heißt es, Blind Signing habe zu Milliardenverlusten von Nutzern beigetragen, einschließlich des Bybit-Hacks ^[17]. Das Ziel ist entsprechend klar: Der Freigabebildschirm soll zeigen, was eine Transaktion beabsichtigt, bevor der Nutzer bestätigt ^[17].

Was ERC-7730 tatsächlich macht

ERC-7730 ist kein neuer Ethereum-Transaktionstyp und verändert nicht die Logik, die on-chain ausgeführt wird. Es ist ein Descriptor-Format: zusätzliche Metadaten, die einer Wallet erklären, wie ein Contract-Aufruf oder eine EIP-712-Nachricht auf dem Bildschirm verständlich dargestellt werden soll ^[2][4].

Die technische Spezifikation von Ledger beschreibt eine ERC-7730-Datei unter anderem mit Binding-Informationen wie Contract-Adresse, Chain-ID und ABI sowie mit Metadaten und Anzeige-Regeln, die bestimmen, wie Transaktionsdaten für den Nutzer formatiert werden ^[1]. Vereinfacht gesagt: Der Descriptor ist die Übersetzungsschicht zwischen schwer lesbarer Calldata und einer Wallet-Anzeige, die man tatsächlich prüfen kann.

Ein typischer Ablauf sieht so aus:

1. Ein Protokoll oder Entwickler erstellt einen ERC-7730-Descriptor für eine Contract-Funktion oder eine typisierte Nachricht ^[5].
2. Eine Wallet oder ein Signiergerät erhält den passenden Descriptor, etwa über ein Register oder eine unterstützte Metadatenquelle ^[14][17].
3. Die Wallet nutzt den Descriptor, um die Transaktion zu dekodieren und vor der Signatur strukturiert und menschenlesbar zusammenzufassen ^[1][2].
4. Der Nutzer kann diese Zusammenfassung mit seiner eigentlichen Absicht vergleichen, bevor er die Transaktion freigibt ^[16][18].

Für Nutzer ist die sichtbare Veränderung einfach: Statt roher Calldata oder eines vagen Signatur-Pop-ups können unterstützte Wallets und Geräte verständliche Transaktionsdetails anzeigen. Ledger beschreibt Clear Signing als Übersetzung komplexer Smart-Contract-Daten in sofort verständliche Transaktionsdetails, auch auf dem sicheren Bildschirm eines Ledger-Geräts ^[16][18].

Warum Register und Audits entscheidend sind

Clear Signing steht und fällt mit dem Descriptor, den eine Wallet verwendet. Er bestimmt, wie ein Contract-Aufruf oder eine typisierte Nachricht für den Nutzer interpretiert wird – und wird damit selbst Teil des Sicherheitsmodells ^[1][2].

Hier liegt der zentrale Kompromiss. Ein Register macht Descriptoren auffindbar, bringt aber Fragen nach Kuratierung und Vertrauen mit sich. Ein Audit kann das Risiko einer irreführenden Anzeige senken, macht aber nicht automatisch jeden Contract sicher und jeden Wallet-Prompt vollständig. Die öffentlichen Materialien beschreiben die Richtung von Register- und Attestierungsmodellen, führen aber nicht jedes Detail zu Governance, Streitfällen oder veralteten Descriptoren aus ^[8][17].

Wer Clear Signing unterstützt

Die offizielle Ankündigung der Ethereum Foundation nennt als Träger eine Ethereum Working Group aus Wallet-Entwicklern, Sicherheitsfirmen und der Trillion Dollar Security Initiative der Foundation ^[17]. Eine vollständige, offizielle Teilnehmerliste geht aus dem verfügbaren Auszug aber nicht hervor.

Ledger ist in den vorliegenden Quellen der klar sichtbarste namentliche Unterstützer: Das Unternehmen veröffentlicht technische Dokumentation zu ERC-7730 und Clear Signing, bewirbt Clear Signing für Ledger-Geräte und sagt, dass mehr als 15 populäre Service Provider Clear Signing und Transaction Check über Ledger Wallet unterstützen ^{[1][2][16][18]}.

Drittberichte zum Start nennen als Mitglieder der Working Group unter anderem Ledger, Trezor, MetaMask, WalletConnect, Cyfrin und Fireblocks ^[8]. Unterstützung durch MetaMask wurde außerdem separat im Zusammenhang mit einer Ledger-Kollaboration zu Clear Signing berichtet ^[26]. Weil die offiziellen Ethereum-Foundation-Materialien hier Kategorien statt einer vollständigen Namensliste nennen, sollten diese Namen als berichtete Ökosystem-Beteiligung verstanden werden – nicht als vollständiges kanonisches Verzeichnis ^[8][17].

Die größte Grenze: Contract-Abdeckung

Clear Signing macht nicht über Nacht jede Ethereum-Interaktion lesbar. Für jeden unterstützten Contract-Aufruf oder Nachrichtentyp braucht es passende Metadaten, und die Wallet muss den Standard unterstützen ^[1][2][5]. ethereum.org beschreibt die Lücke nüchtern: Software-Wallets dekodieren Felder nur, wenn sie den Contract erkennen; wenn nicht, können Nutzer weiterhin blind signieren ^[5].

Die sogenannte Long-Tail-Abdeckung ist ein bekanntes Problem. Kampela, ein Entwickler air-gapped Hardware-Signiergeräte, argumentiert in einem eigenen On-chain-Clear-Signing-Vorschlag, dass kuratierte Off-chain-Register wie ERC-7730 Clear Signing für bekannte Contracts ermöglichen können, aber von Drittparteien-Kuratierung abhängen und bei der großen Zahl täglich neu deployter Contracts an Grenzen stoßen könnten ^[6]. Das ist die Kritik eines alternativen Designvorschlags, kein Beweis dafür, dass ERC-7730 nicht skalieren kann. Sie zeigt aber den praktischen Knackpunkt: Descriptoren müssen existieren, auffindbar sein und aktuell bleiben.

Warum air-gapped Hardware-Wallets schwieriger sind

Am leichtesten ist Clear Signing zu verstehen, wenn eine Wallet oder ein Gerät Descriptoren über normale Softwarekanäle abrufen oder aktualisieren kann. Ledger beschreibt etwa die Verbindung eines Ledger-Signers per Bluetooth oder USB und die Anzeige klarer Transaktionsdetails direkt auf dem Gerät ^[16].

Bei vollständig air-gapped Geräten – also Signiergeräten ohne direkte Online-Verbindung – stellt sich eine härtere Frage: Wie kommen Descriptor-Daten auf das Gerät, wie werden sie geprüft und wie bleiben sie aktuell, ohne einem Online-Vermittler blind zu vertrauen? ethereum.org nennt Offline-Geräte ausdrücklich als einen Fall, in dem Nutzer weiterhin blind signieren können ^[5]. Kampelas On-chain-Clear-Signing-Vorschlag zielt genau darauf, Transaktionen auf eingeschränkten, air-gapped Geräten menschenlesbar und ohne vertrauenspflichtige Drittparteien verifizierbar zu machen, und kritisiert Off-chain-Registeransätze wegen ihrer Kuratierungsabhängigkeit ^[6].

Das heißt nicht, dass Clear Signing mit Hardware-Wallets nicht funktionieren kann. Es heißt aber: Die stärksten Garantien für vollständig air-gapped Abläufe sind in den verfügbaren öffentlichen Materialien weniger klar beschrieben als die Garantien für verbundene Wallet- und Hardware-Wallet-Flows.

Fazit

Ethereum Clear Signing ist ein ernstzunehmender Versuch, blinde Wallet-Freigaben durch lesbare Transaktionsabsichten zu ersetzen. ERC-7730 liefert das Descriptor-Format, Register machen diese Descriptoren auffindbar, und Audits sowie Attestierungen sollen Vertrauen in die Anzeige schaffen ^{[1][2][8][17]}.

Ob daraus ein spürbarer Sicherheitsgewinn für den Alltag wird, hängt von der Adoption ab. Wenn große Wallets, Hardware-Geräte, Protokolle, Register und Auditoren auf zuverlässige Descriptoren setzen, dürften Nutzer seltener vor kryptischen Signaturfenstern stehen. Bleibt die Abdeckung dünn – besonders bei neuen Contracts und vollständig air-gapped Geräten –, wird Blind Signing nicht überall auf einmal verschwinden ^[5][6].