Krypto-Adress-Validator

Was dieses Tool prüft, und was nicht

Hinter „ist diese Adresse gültig" verbergen sich zwei verschiedene Fragen. Die erste ist, ob der String wohlgeformt ist: richtige Länge, richtiges Alphabet, intakte Prüfsumme. Diese Frage hat eine eindeutige Antwort, und diese Seite beantwortet sie in Ihrem Browser, ohne die Adresse irgendwohin zu senden. Die zweite Frage ist, ob die Adresse existiert, ein Guthaben hält oder der Person gehört, die sie Ihnen gegeben hat. Das kann kein Offline-Prüfer beantworten, und jedes Tool, das das behauptet, liest eine Blockchain aus, nicht den String.

Die Unterscheidung ist wichtig, weil die beiden Fehlerarten völlig verschieden aussehen. Eine fehlerhafte Adresse wird hier und von jeder Wallet erkannt, ein Tippfehler in einer TRON-Adresse ist also ein Ärgernis, kein Verlust. Eine wohlgeformte Adresse, die der falschen Person gehört, ist für jeden je geschriebenen Prüfer unsichtbar.

TRON: Base58Check, bis zur Prüfsumme verifiziert

Eine TRON-Adresse hat 34 Zeichen und beginnt mit T. Hinter diesem String stehen 25 Bytes: ein Versionsbyte, 20 Adressbytes und eine 4-Byte-Prüfsumme. Das Versionsbyte ist auf dem Mainnet 0x41, und deshalb erhält jede Adresse nach der Base58-Kodierung der 25 Bytes ein führendes T.

Die Prüfsumme sind die ersten vier Bytes von SHA-256(SHA-256(payload)), wobei die Payload aus dem Versionsbyte plus den 20 Adressbytes besteht. Diese Seite berechnet diesen Hash tatsächlich, über die eigene Web-Crypto-API des Browsers, und vergleicht ihn mit den vier Bytes, die in der Adresse mitgeführt werden. Ein einzelnes verändertes Zeichen erzeugt eine andere Payload, einen anderen Hash und eine Abweichung. Das ist der gesamte Mechanismus, und deshalb wird eine falsch getippte TRON-Adresse abgelehnt, statt ins Leere zu laufen.

Base58 lässt zudem absichtlich vier Zeichen aus seinem Alphabet weg: Null, großes O, großes I und kleines l. Das sind genau die Paare, die Menschen beim lauten Vorlesen oder handschriftlichen Abtippen einer Adresse verwechseln, und ihr Fehlen sorgt dafür, dass diese Verwechslungen keine andere gültige Adresse erzeugen können. Meldet der Prüfer ein Zeichen außerhalb des Alphabets, ist meist eines dieser vier der Übeltäter.

Eines sagt das Format nicht: ob die Adresse eine Wallet oder ein Token-Contract ist. Beide verwenden auf TRON dieselbe T-präfixierte Form. Der USDT-Contract, TR7NHqjeKQxGTCi8q8ZY4pL8otSzgjLj6t, ist nach jeder Prüfung auf dieser Seite eine gültige Adresse, und eine Einzahlung dorthin zu senden ist trotzdem ein Fehler. Die TRC20-Adressseite behandelt diese Unterscheidung und die Hex-Notation ausführlicher.

Ethereum und BSC: ein Format, zwei Chains

Eine EVM-Adresse besteht aus 0x gefolgt von 40 hexadezimalen Zeichen, insgesamt 42 Zeichen. Ethereum, BNB Smart Chain, Polygon und Arbitrum verwenden alle dieselbe Form, weil sie dieselbe Ausführungsschicht und dieselbe Schlüsselableitung teilen. Das hat eine Konsequenz, die man klar aussprechen sollte: Es gibt keine Möglichkeit, eine ERC-20-Adresse von einer BEP-20-Adresse allein am Aussehen zu unterscheiden. Der String ist identisch. Was sich unterscheidet, ist das Netzwerk, an das Sie die Transaktion senden, und die Guthaben, die auf jeder Chain existieren.

Hier entstehen die meisten Chain-übergreifenden Verluste. Eine auf Ethereum gültige Adresse ist auf BSC ebenso gültig, eine Wallet sendet also anstandslos BEP-20-Token an eine Adresse, die der Empfänger nur auf Ethereum überwacht. Die Mittel sind nicht weg, sie liegen auf der anderen Chain, aber sie zurückzuholen braucht den Private Key und eine für dieses Netzwerk konfigurierte Wallet. Die ERC20-Adressseite und die BEP20-Adressseite gehen auf die praktische Seite davon ein, einschließlich, wie sich BEP-20 vom älteren BEP-2-Format unterscheidet, das mit bnb1 beginnt und mit nichts hier austauschbar ist.

EIP-55: die Prüfsumme, versteckt in der Groß- und Kleinschreibung

Hex unterscheidet nicht zwischen Groß- und Kleinschreibung, 0xab… und 0xAB… adressieren also dasselbe Konto. EIP-55 nutzt diesen freien Spielraum: Es hasht die Kleinbuchstaben-Adresse mit Keccak-256 und lässt jedes Nibble des Hashes entscheiden, ob der zugehörige Hex-Buchstabe groß oder klein geschrieben wird. Das Ergebnis sieht aus wie eine gewöhnliche gemischt geschriebene Adresse und trägt pro Buchstabe rund vier Bit Fehlererkennung.

Eine gemischt geschriebene EVM-Adresse stellt also eine Behauptung auf, eine durchgehend klein- oder großgeschriebene tut das nicht. Beide sind für jede Wallet und jeden Node gültige Eingaben. Nur die gemischt geschriebene lässt sich prüfen.

Diese Seite meldet, welche der beiden Sie eingefügt haben, und mehr nicht. Die Prüfung der EIP-55-Prüfsumme braucht eine Keccak-256-Implementierung, und die Web-Crypto-API des Browsers bietet kein Keccak – sie bietet SHA-256, das oben für die TRON-Prüfung verwendet wird. Statt für eine sicherheitsrelevante Prüfung eine handgeschriebene Hash-Funktion auszuliefern, sagt Ihnen das Tool, was es nicht geprüft hat. Kommt Ihre Adresse aus einer Wallet-Oberfläche, trägt sie fast sicher bereits eine korrekte Prüfsumme; kommt sie aus einer Datenbank oder einer Log-Datei, lohnt sich eine vollständige EIP-55-Prüfung im eigenen Code, wo eine geprüfte Bibliothek nur einen Import entfernt ist.

Woher Adressen in einer Integration kommen

Eine eingefügte Adresse zu prüfen ist die letzte Verteidigungslinie. Die frühere ist, gar keine Adressen einzufügen. In einem Zahlungs- oder Auszahlungs-Flow werden Einzahlungsadressen pro Kunde generiert und programmatisch überwacht, sodass niemand eine Adresse von Hand abtippt und die Formatfrage sich gar nicht erst stellt.

Das ist die Aufgabe, die die TRON-API und die entsprechenden Ethereum- und BSC-Endpunkte übernehmen: eine Adresse erstellen, einen Webhook dafür registrieren, die Einzahlung gutschreiben, sobald die Benachrichtigung eintrifft. Adressen bleiben non-custodial, und der Test läuft sieben Tage ohne Kreditkarte und ohne KYC. Zwei operative Details sollten Sie kennen, bevor Sie darauf aufbauen: Webhooks haben keinen automatischen Retry, eine fehlgeschlagene Zustellung wird also über POST /<chain>/webhooks/notifications/failed abgerufen, statt auf eine erneute Zustellung zu warten, und Solana bietet überhaupt keine Webhook-Unterstützung.

Die übrigen Rechner dieser Seite sind in der Tools-Übersicht aufgeführt.

Häufig gestellte Fragen

Verlässt die Adresse meinen Browser?

Nein. Sowohl die Base58-Dekodierung als auch das SHA-256-Hashing laufen lokal über die Web-Crypto-API des Browsers. Es gibt keine Anfrage an einen Server, weshalb das Tool auch ohne Netzwerkverbindung funktioniert.

Was genau wird bei einer TRON-Adresse geprüft?

Vier Dinge: dass die Zeichenfolge 34 Zeichen lang ist, dass jedes Zeichen im Base58-Alphabet liegt, dass sie zu 25 Bytes mit dem Versionsbyte 0x41 dekodiert, und dass die letzten vier Bytes mit den ersten vier Bytes von SHA-256(SHA-256(Payload)) übereinstimmen. Die Prüfsumme wird berechnet, nicht angenommen.

Kann man eine ERC-20-Adresse von einer BEP-20-Adresse unterscheiden?

Nein, das kann nichts. Beide Standards verwenden das identische Format aus 0x plus 40 Hex-Zeichen. Ein Tool, das behauptet, sie unterscheiden zu können, rät entweder oder fragt eine Blockchain nach Guthaben ab — was eine andere Frage ist als die Gültigkeit der Adresse.

Warum wird die EIP-55-Prüfsumme nicht verifiziert?

Dafür wäre Keccak-256 nötig, das die eingebaute Krypto-Funktion des Browsers nicht bereitstellt, und diese Seite liefert keine eigene Hash-Implementierung für eine Prüfung, auf die sich Nutzer verlassen würden. Was die Seite meldet, ist, ob die Adresse in gemischter Schreibweise geschrieben ist — was eine EIP-55-Prüfsumme bedeutet — oder in einer einzigen Schreibweise, was bedeutet, dass sie keine trägt.

Bedeutet eine gültige Adresse, dass die Gelder ankommen?

Nein. Gültigkeit ist eine Eigenschaft der Zeichenfolge. Ob die Adresse überwacht wird, ob sie auf der Chain liegt, von der Sie senden, und ob sie dem beabsichtigten Empfänger gehört, sind alles separate Fragen, die keine Offline-Prüfung klären kann.

Warum lässt Base58 manche Zeichen aus?

Null, das große O, das große I und das kleine l sind ausgeschlossen, weil sie leicht miteinander verwechselt werden. Ihr Fehlen sorgt dafür, dass ein mehrdeutiges Lesen nicht stillschweigend eine andere, gültige Adresse erzeugen kann.

Was ist die Hex-Form einer TRON-Adresse?

Dieselben 21 Payload-Bytes, als Hex geschrieben: 41 gefolgt von 40 Hex-Zeichen. Die TVM verwendet diese Form intern, Wallets zeigen die Base58Check-Form. Die Hex-Form trägt keine Prüfsumme, es gibt also nichts darin zu verifizieren.

Ist eine Contract-Adresse eine gültige Adresse?

Ja, nach jeder Formatprüfung. Auf TRON und auf EVM-Chains sind Contract-Adressen und Wallet-Adressen anhand ihrer Form nicht zu unterscheiden. Eine Einzahlung an einen Token-Contract zu senden besteht die Validierung und verliert die Gelder trotzdem — deshalb ist die Adressvalidierung eine Formatprüfung und keine Sicherheitsprüfung.