25 Minuten, 1.600 Bitcoin, eine falsche Lehre
Ein 5 Jahre alter Fehler, hunderte geleerte Wallets und warum die Flucht in ETFs das Risiko nicht löst, sondern nur verschiebt.
Lieber Bitler,
25 Minuten. So lange dauerte es in der Nacht auf den 30. Juli, hunderte Bitcoin-Wallets zu leeren. Am Ende fehlten rund 1.600 Bitcoin, über 100 Millionen Dollar. Und nein: Niemand hat einen Zettel verloren, niemand ist auf eine Phishing-Mail hereingefallen. Der Fehler saß im Gerät selbst. Seit fünf Jahren, ohne dass es jemand gemerkt hat. Für viele war Selbstverwahrung bis dahin die eine sichere Sache: dein Schlüssel, dein Bitcoin, Ende der Diskussion. Seit dieser Nacht diskutieren alle wieder.
Und zwar in eine Richtung, die mich stört. Noch während unklar war, welche Geräte überhaupt betroffen sind, meldete BlackRocks Bitcoin-ETF IBIT kräftige Zuflüsse, rund 170 Millionen Dollar an einem einzigen Tag. Der Reflex dahinter ist verständlich: Wenn ich meinem Gerät nicht trauen kann, gebe ich die Schlüssel eben ganz ab.
Ich halte diesen Schluss für falsch. Wer nach dieser Nacht an seiner Verwahrung zweifelt, muss sie nicht abgeben, er muss sie besser bauen. Wie das geht, dafür gibt es ein Werkzeug, das genau diesen Fall überlebt hätte: Multisig. Dazu weiter unten.
Was ist eigentlich konkret passiert?
Eine Firmware-Version von Coldcard (4.0.0, ausgeliefert im März 2021) erzeugte den Zufall für die Seedphrase nicht sauber. Statt der vorgesehenen 128 Bit erreichten die Schlüssel bei den Modellen Mk2 und Mk3 laut Hersteller effektiv nur rund 40 Bit, bei Mk4, Mk5 und Q etwa 72. Übersetzt heißt das: Der Suchraum war klein genug, dass Angreifer die Schlüssel schlicht durchprobieren konnten. Fünf Jahre lang fiel das niemandem auf.
In der Nacht auf den 30. Juli wurde die Lücke ausgenutzt. Rund 1.600 Bitcoin im Wert von über 100 Millionen Dollar wurden aus hunderten Wallets abgezogen, ohne dass die Besitzer irgendetwas falsch gemacht hätten.
Die Schlagzeilen waren schnell und hart. „Self-Custody ist die riskanteste Form der Verwahrung", schrieb BTC-ECHO. Andere erklärten den „Mythos der Selbstverwahrung" für tot. Und während die Debatte lief, floss frisches Geld weiter in Bitcoin-ETFs, allein in BlackRocks IBIT rund 170 Millionen Dollar an einem einzigen Tag. Die Botschaft, die viele mitnahmen: Gib die Verantwortung ab, dann kann dir das nicht passieren.
Ein Detail ging dabei fast unter, und es ist das wichtigste der ganzen Geschichte: Wer eine sichere Passphrase (25. Wort) nutzte, selbst für zusätzliche Entropie gesorgt hatte kam unversehrt davon. Der Fehler war herstellerspezifisch. Getroffen hat er nur die, die sich vollständig auf ein einziges Gerät verlassen haben.
⚡Du kennst jemanden, der sich nach dieser Woche fragt, ob Selbstverwahrung noch sicher ist? Genau für den ist diese Ausgabe. Leite sie weiter.
Meine Einschätzung:
Der Reflex „dann lieber ETF" ist der eigentliche Fehler dieser Woche. Vielleicht größer als der Bug selbst.
Denn was dabei passiert, spricht kaum jemand aus: Man tauscht ein technisches Risiko gegen ein Gegenpartei-Risiko. Beim ETF ist dein Bitcoin nicht weg, weil ein Zufallsgenerator versagt. Er ist weg, wenn der Verwahrer versagt, der Emittent die Regeln ändert oder ein Staat den Zugang einfriert. Das Risiko verschwindet nicht, es wechselt nur den Besitzer. Und nebenbei gibst du das auf, worum es bei Bitcoin überhaupt geht: dass niemand zwischen dir und deinem Geld steht.
Dabei liefert der Hack die bessere Antwort gleich mit. Wer ein Multisig-Setup mit Geräten verschiedener Hersteller nutzte, hat keinen Satoshi verloren. Bei 2-von-3 braucht jede Transaktion zwei Schlüssel, und ein Firmware-Fehler bei einem Hersteller kann nur einen davon treffen. Selbstverwahrung ist eben kein Statussymbol, das man einmal kauft und dann besitzt. Sie ist ein Handwerk: den Seed ernst nehmen, mit kleinen Beträgen testen, nicht alles auf eine Karte setzen. Der Blocktrainer hat aus gegebenem Anlass eine ausführliche Multisig-Anleitung veröffentlicht.
Und ehrlich: Für manche ist der ETF trotzdem die vernünftigere Wahl. Wer die Verantwortung für einen Seed nicht tragen will, fährt mit einem regulierten Produkt besser als mit einer Hardware-Wallet, die er nie verstanden hat. Nur sollte das eine bewusste Entscheidung sein, kein Angstreflex nach einer Schlagzeile.
Der Hack hat kein Prinzip widerlegt. Er hat sichtbar gemacht, dass Souveränität Arbeit ist. Und dass die eigentliche Frage nicht beim Gerät anfängt, sondern bei dir: Wie viel Verantwortung willst du tragen?
Stay humble & stack Sats
 | Vincent von Bits&Satoshis |
Ps: Hat dir diese Ausgabe geholfen? Leite sie an jemanden weiter, der Bitcoin und Geld wirklich verstehen will, nicht nur die Schlagzeilen.
Disclaimer: Dieser Newsletter dient ausschließlich zu Informations- und Bildungszwecken. Der Newsletter bietet keine Finanzberatung und die hier bereitgestellten Inhalte stellen keine Anlageberatung dar. Bitte führe stets eigene Recherchen durch und konsultiere bei Bedarf einen professionellen Berater, bevor du finanzielle Entscheidungen triffst. Investitionen in Bitcoin und Vermögenswerte sind mit Risiken verbunden.