Ein Label ist kein Beweis.

Was wir messen

Jede Heuristik ist hier mit ihrer Funktionsweise und ihrer Grenze beschrieben.

Der Risiko-Score breitet das Risiko von markierten Quellen — sanktionierten, Mixer- und geflaggten Adressen — durch den sichtbaren Graphen aus. Die Ausbreitung ist richtungssensitiv (getrennt für Zufluss und Abfluss), läuft über höchstens drei Hops, klingt je Hop um den Faktor 0,45 ab und stoppt an Börsen (CEX) als KYC-Anker. Sie ist betragsanteilig (USD vor ETH vor Transaktionszahl), sodass Staubbeträge kaum zählen. Bänder: niedrig unter 40, mittel 40–69, hoch ab 70.

EhrlichEine transparente, nachvollziehbare Heuristik — kein zertifizierter forensischer Score. Die Qualität hängt am Label-Set; Bridges leiten die Risiko-Markierung in dieser Version unverändert weiter.

Adressen werden in fester Priorität beschriftet: zuerst manuell kuratierte Labels, dann geflaggte und OFAC-sanktionierte Adressen, dann bekannte Bridge-Contracts, dann ein importierter Label-Datensatz, zuletzt eine On-Chain-Prüfung auf Vertrags-Bytecode. Quellen der Risiko-Labels sind offene, strukturierte Listen: ScamSniffer und die ethereum-lists-Darklist (geflaggt) sowie die OFAC-Liste sanktionierter Adressen.

EhrlichOffene Community-Listen — sie können Fehler und Falsch-Positive enthalten. Freitext-Quellen (etwa PeckShield-Tweets) nutzen wir bewusst nicht, weil sie Opfer- und Burn-Adressen mitflaggen würden.

Jedes Label belegt seine Herkunft: Quelle, Stand und eine von drei Confidence-Stufen. Verifiziert bedeutet eine offizielle Liste (etwa die OFAC-Sanktionsliste) oder eine on-chain prüfbare Tatsache (Vertrags-Bytecode). Gemeldet sind Community-Meldungen wie ScamSniffer oder die ethereum-lists-Darklist. Heuristisch sind eigene Ableitungen und der breite, importierte Label-Datensatz (eth-labels) ohne verifizierbares Datum. Im Detail-Panel steht die stärkste Quelle oben; weitere Quellen lassen sich aufklappen.

EhrlichDie Confidence-Stufe bewertet die Herkunft des Labels, nicht die Schuld einer Adresse. Auch „verifiziert" heißt nur: die Quelle ist belastbar — ein Label bleibt ein Hinweis, kein Beweis.

Trifft eine Spur auf einen Bridge-Contract, lässt sich dieselbe Adresse auf der Zielkette weiterverfolgen — TraceHex verbindet beide über eine markierte Cross-Chain-Kante.

EhrlichEine Same-Address-Heuristik ohne Betrags- oder Timing-Korrelation. Sie belegt nicht, dass es dieselbe Person ist.

Auto-Trace folgt dem Geldfluss automatisch — dem größten Abfluss (Geld-Modus) oder dem Sprung zu Mixer/geflaggt (Risiko-Modus) —, verzweigt bei Aufspaltungen und springt an nativen Bridges auf die Zielkette. Die Tiefe ist gedeckelt.

EhrlichEs prüft nicht je Hop auf Vertrags-Bytecode — unbeschriftete Contracts werden durchlaufen; nur gelabelte Endpunkte (Börse, Mixer, geflaggt, DeFi, Contract) stoppen einen Ast.

Der „Cluster"-Knopf rankt, mit welchen Adressen die untersuchte Wallet am stärksten verbunden ist — beidseitige Flüsse und gemeinsame Gegenparteien zählen am meisten.

EhrlichEin Ranking nach Verbindungsstärke aus den sichtbaren Kanten — kein Eigentums-Beweis, dass die Adressen zusammengehören.

Source of Funds findet die erste eingehende ETH-Quelle einer Wallet; die Funder-Kette verfolgt sie rückwärts Hop für Hop bis zur ersten bekannten Quelle (meist eine Börse als KYC-Anker).

EhrlichDie Heuristik „erster ETH-Zufluss = Finanzierer" ist kein Beweis; rein token-finanzierte Wallets liefern kein Ergebnis (ETH-only).

Bytecode-Fingerprinting & Klon-Analyse

TraceHex bildet aus dem normalisierten Laufzeit-Bytecode eines Contracts einen kryptographischen Fingerabdruck (keccak256, ohne Compiler-Metadaten). Stimmt er exakt mit dem bekannter, geflaggter Contracts überein, ist der gescannte Contract byte-identisch zu einem Scam-Template — eine harte, nachprüfbare Spur, die auch noch unbenannte Klone aufdeckt, bevor sie irgendeine Liste kennt. Häufige Standardvorlagen (z. B. OpenZeppelin) werden gedämpft, damit sie nicht als Scam-Zwilling erscheinen.

EhrlichByte-Identität ist eine Spur, kein Urteil über den einzelnen Contract — sie belegt gemeinsamen Code, keine Tat. Die Disassemblierung ist linear (kann Daten nicht immer von Code trennen); die Schwelle für eine häufige Standardvorlage ist eine am echten Cluster-Korpus kalibrierte Heuristik.

Address-Poisoning / Look-alike-Erkennung

TraceHex erkennt Köder-Adressen, die Anfang und Ende einer Adresse imitieren, mit der die untersuchte Wallet wirklich interagiert hat — typischerweise über einen 0-Wert- oder Fake-Token-Transfer (oft mit einem Homoglyph-Symbol wie „EṬH“). Der Angreifer hofft, dass beim Kopieren aus dem Verlauf versehentlich die Köder-Adresse erwischt wird. TraceHex markiert den Köder, nennt die echte Adresse und warnt deutlich.

EhrlichEine strukturelle Heuristik (gleicher Anfang + gleiches Ende plus eine verdächtige 0-Wert-/Fake-Token-Kante) über den sichtbaren Graphen, auf derselben Kette. Zwei legitime Adressen könnten Anfang und Ende theoretisch teilen — sehr unwahrscheinlich, aber der Marker ist ein Hinweis, kein Beweis.

Latente Fähigkeiten (Capability-Analyse)

TraceHex liest aus dem Bytecode, welche privilegierten Funktionen ein Contract besitzt (z. B. mint, upgrade, pause) und wer die Autorität hält (EOA, Multisig, Timelock, aufgegeben). Daraus entsteht eine Aussage darüber, was der Halter KANN.

EhrlichEine statische Heuristik aus Selektoren — sie belegt Präsenz, nicht Erreichbarkeit oder Absicht, und ist kein Schuldbeweis. Obfuskierte oder Nicht-Solidity-Contracts können Funktionen verbergen.

Token-Check

Wird ein Token-Contract gescannt, fasst der Token-Check vier Gruppen zusammen: Holder-Verteilung, Contract-Sicherheit (aus der eigenen Capability- und Klon-Analyse), Handelbarkeit (Honeypot, Kauf- und Verkaufssteuer, Verkaufssperre) und Liquidität (ist der Liquiditäts-Pool gesperrt oder verbrannt?). Das Gesamturteil ist eine Auszählung faktischer Warnzeichen je Gruppe, keine erfundene Zahl. Schwellen: Top-1-Holder ab 30 % oder Top-10 ab 80 %; Verkaufssteuer ab 30 % oder Honeypot; unter 50 % gesperrte Liquidität; sowie eine hohe Capability-Einstufung. Holder-, Handels- und Liquiditätsdaten liefert der externe Dienst GoPlus (jede solche Aussage ist mit der Quelle GoPlus gekennzeichnet); die Contract-Sicherheit stammt aus TraceHex selbst. Die Handelbarkeit korroboriert zusätzlich der externe Dienst honeypot.is, der die Kette forkt und Kauf und Verkauf simuliert (entsprechend gekennzeichnet) — er kann ein Urteil nur verschärfen, nie abschwächen.

Anerkannte Token (auf der GoPlus-Trust-Liste oder an großen Börsen gelistet, optional bestätigt durch eine Top-Marktkapitalisierung laut CoinGecko) werden gedämpft: launch-typische Warnzeichen wie Holder-Konzentration oder ungesperrte Liquidität ziehen das Urteil dann nicht mehr hoch — bei etablierten Token spiegeln sie meist Custodian, Bridge oder Treasury wider, kein Dump-Risiko. Harte Red-Flags — Honeypot, Verkaufssperre, hohe Steuer, byte-identischer Klon eines geflaggten Contracts — eskalieren immer, auch bei anerkannten Token.

EhrlichKeine Anlageberatung. Die Markt-Daten gibt es nur auf den von GoPlus unterstützten Ketten — auf den übrigen zeigt der Token-Check nur die eigenen Contract-Signale. Die Schwellen sind eine dokumentierte Heuristik, kein Urteil über den Token.

Woher die Daten kommen

TraceHex lädt echte On-Chain-Transaktionen — native Coins, ERC-20- und NFT-Transfers (ERC-721/1155) — über Etherscan V2 oder Alchemy, je nach Konfiguration, für 16 EVM-Ketten. USD-Werte werden je Token nach Contract-Adresse bepreist (nicht nach Symbol, damit gefälschte gleichnamige Token nicht falsch bewertet werden); bekannte Stablecoins werden per Adresse auf einen Dollar gepinnt.

EhrlichKeine Beispieldaten — außer der klar als Demo gekennzeichneten Beispiel-Ansicht. Jede Ansicht ist eine Momentaufnahme; Ergebnisse werden kurz (rund fünf Minuten) zwischengespeichert. Bekannte Stablecoins werden pauschal auf einen Dollar gepinnt — ein Depeg (Abweichung vom Dollar) wird nicht berücksichtigt.

Was TraceHex nicht ist

TraceHex macht On-Chain-Geldflüsse sichtbar und liefert begründete Hinweise. Es ist ausdrücklich nicht:

• ein zertifizierter forensischer Score oder ein Gerichtsgutachten,
• ein Beweis — ein Label oder ein Risiko-Wert ist ein Hinweis für die weitere Prüfung,
• unabhängig vom Label-Set — die Aussagekraft steht und fällt mit den zugrunde liegenden Listen,
• ein Identitäts-Nachweis über Ketten hinweg — der Cross-Chain-Hop nimmt dieselbe Adresse an,
• frei von Bridge-Durchleitung — Risiko-Markierungen laufen in dieser Version durch Bridges hindurch.

Transparenz statt Black-Box

Anonyme Risiko-Scores ohne offengelegte Methodik verlangen Vertrauen, das sich nicht prüfen lässt. TraceHex benennt jede Heuristik, ihre Datenquellen und ihre Grenzen. Wer ein Ergebnis hinterfragt, kann nachvollziehen, wie es zustande kam — und selbst entscheiden, wie viel es wiegt.

Datenschutz

Ihr Suchverlauf liegt ausschließlich lokal in Ihrem Browser (localStorage) und wird serverseitig nicht gespeichert. Details in der Datenschutzerklärung.