# Solana-Stolpersteine, die Anchor nicht entfernt

> Anchor entfernt den Boilerplate, nicht die scharfen Kanten. Die Bugs, die Geld kosten, sind die, die das Framework höflich erlaubt.

Solanas Account-Modell ist wirklich anders: Programme sind zustandslos, Accounts tragen den Zustand, und die Laufzeit vertraut darauf, dass du prüfst, wem was gehört. Diese Checks landen immer wieder in Post-Mortems.

## Owner-Checks sind deine Aufgabe

Das Deserialisieren eines Accounts beweist seine Form, nicht seinen Besitzer. Jedes Programm kann einen Account mit identischem Layout anlegen und ihn deinem übergeben. Anchors owner-Constraint existiert genau dafür; Account<T> macht es implizit, AccountInfo nicht.

## Signer sind nicht implizit

Ein Feld, das admin heißt, ist Daten, keine Signatur. Jede privilegierte Instruktion braucht einen Signer auf dem Authority-Account — der übliche Audit-Fehler ist eine Authority, die aus den Account-Daten gelesen wird, ohne die Signatur dagegen zu prüfen.

## Rent, Realloc und der gewachsene Account

Ein Realloc ändert die Lamport-Anforderung eines Accounts, und das Nachladen der Rent zu vergessen ist ein stiller Ausfall für die eigenen Nutzer. Dimensioniere Accounts auf die Daten, die sie beim ersten Schreiben wirklich halten.

## Was bleibt

- Den Owner prüfen, nicht nur die Form.
- Privilegierte Calls brauchen ein Signer-Constraint, kein Admin-Feld.
- Rent beim Realloc einplanen, nicht danach.
- Instruktionsfolgen fuzzen — State-Bugs verstecken sich zwischen den Calls.

## Schlagwörter

Solana, Anchor, Rust, Auditing

## Das bauen wir auch

https://dfieldsolutions.com/de/leistungen/blockchain

## Mehr aus dem Lab

- https://dfieldsolutions.com/de/labor/solana-rpc-costs.md — Was Solana-RPC wirklich kostet, sobald der Prototyp läuft
- https://dfieldsolutions.com/de/labor/custom-software-cost.md — Was Custom Software wirklich kostet
- https://dfieldsolutions.com/de/labor/custom-vs-off-the-shelf.md — Custom oder von der Stange — der ehrliche Test
- https://dfieldsolutions.com/de/labor/n8n-self-hosted-vs-zapier.md — Self-hosted n8n oder Zapier — wo die Rechnung wirklich abweicht

---

Source: https://dfieldsolutions.com/de/labor/solana-anchor-footguns
DField Solutions — Dunakeszi, Hungary — dezso@dfieldsolutions.com
Booking: see https://dfieldsolutions.com/en/contact