11675

XMR-Wallet: Signaturprüfung muss noch behoben werden | Sicherheitsverbesserung weiterhin in Prüfung | Ich warte zunächst auf Bestätigung bei 645 US-Dollar

Ich bleibe abwartend und jage dem Kurs nicht hinterher, nur weil ein Codebeitrag eingereicht wurde. Die aktuellen Top-Themen auf Binance Square drehen sich hauptsächlich um Börsensicherheit, Auszahlungen und Makrothemen. In der Sechs-Stunden-Suchrangliste gibt es keinen direkt auf XMR bezogenen Aufwärtstrend, daher greife ich hier keine unzusammenhängenden Themen auf. Am 3. November erschien im offiziellen Monero-Code-Repository PR #11675. Der Entwickler weist darauf hin, dass eine Watch-only-Wallet beim Aufruf einer Standard-Signaturmethode über bestimmte Schnittstellen zum Signieren von Nachrichten möglicherweise versucht, einen nicht vorhandenen Ausgabeschlüssel zu verwenden. In einem Release-Build wird eine nicht verifizierbare Signatur zurückgegeben, während ein Debug-Build eine Assertion auslöst. Der Vorschlag verlangt, vor dem Signieren zu prüfen, ob der ausgewählte private Schlüssel zum öffentlichen Schlüssel der Adresse passt, und die Schnittstelle einen eindeutigen Fehler zurückgeben zu lassen. Der PR ist derzeit noch offen und wartet auf Prüfung. Man kann also nicht behaupten, dass der Fehler in einer neuen Wallet-Version bereits behoben sei – geschweige denn daraus schließen, dass jemand deswegen Coins verloren hat.

Warum ist dieses Detail für Trader einen Blick wert? „Nachrichten signieren“ wird häufig dazu verwendet, die Kontrolle über eine Adresse nachzuweisen oder sich bei bestimmten Anwendungen anzumelden. Das ist jedoch etwas anderes als eine On-Chain-Überweisung. Wird in der Benutzeroberfläche angezeigt, dass eine Signatur erstellt wurde, kann der Empfänger sie aber nicht verifizieren, könnten Nutzer ihre Berechtigungen falsch einschätzen oder Zeit mit der Fehlersuche verschwenden. Das gilt besonders für Watch-only-Wallets, die ohnehin keinen privaten Ausgabeschlüssel besitzen. Der PR weist außerdem darauf hin, dass die ältere Logik bei expliziter Angabe einer Adresse nur den öffentlichen Ausgabeschlüssel abgleicht und möglicherweise eine Signatur zurückgibt, die nicht zur eingegebenen Adresse gehört. Die vorgeschlagene Änderung soll beide Arten öffentlicher Schlüssel abgleichen. Der Autor gibt an, dass Unit-Tests, Wallet-API-Tests und Tests der RPC-Signierfunktion bestanden wurden. Das sind jedoch vom Einreicher gemeldete Testergebnisse und bedeuten nicht, dass der Code bereits zusammengeführt oder veröffentlicht wurde oder alle Wallet-Implementierungen abgedeckt sind. In den aktuellen offiziellen Versionshinweisen auf der Website steht weiterhin Version 0.18.5.4; diese sollte getrennt vom noch zu prüfenden PR betrachtet werden.

Aus Marktsicht handelt es sich um einen möglichen Patch zur Verbesserung der Zuverlässigkeit bei der Nutzung. Er verändert weder das XMR-Angebot noch das Datenschutzprotokoll oder die Nachfrage am Spotmarkt unmittelbar. Regulierung und Handelswege sind nach wie vor die größeren Einflussfaktoren: Die FATF hat kürzlich eine gezielte Überprüfung zur Umsetzung ihrer Standards für Anbieter von Dienstleistungen mit virtuellen Vermögenswerten eingeleitet. In dem Dokument wird XMR nicht ausdrücklich erwähnt, daher sollte man es nicht als neues Verbot gegen XMR darstellen. Die Unterstützung von Privacy-Coins durch einzelne Börsen sowie der Status von Ein- und Auszahlungen und die Markttiefe beeinflussen allerdings tatsächlich die Handelskosten. Laut einem Kraken-Snapshot liegt XMR bei etwa 632,53 US-Dollar; der Tageseröffnungskurs lag bei 630 US-Dollar, das Tief der letzten 24 Stunden bei 622,94 US-Dollar und das Hoch bei 645 US-Dollar. Der Kurs liegt etwas über der Tageseröffnung, aber weiterhin unter dem Hoch. Auch das reicht nicht als Beleg dafür, dass der Markt diesen PR bereits einpreist.

Ich betrachte 645 US-Dollar als kurzfristige Bestätigungsschwelle und 622,94 US-Dollar als derzeitige Untergrenze der Schwankungsbreite. Steigt der Kurs über 645 US-Dollar und fällt rasch wieder darunter, oder zeigt die PR-Prüfung, dass der Vorschlag das Problem bei Watch-only-Wallets nicht löst, nehme ich meine optimistische Einschätzung zurück. Auf Makroebene hat die US-Notenbank bei ihrer letzten Sitzung die Zinsspanne bei 3,75 bis 4 % belassen. Die allgemeine Liquiditätsbeschränkung für Risikoanlagen ist also nicht verschwunden, nur weil es eine Diskussion über eine Codeänderung gibt.

Wenn ich selbst handeln würde, würde ich derzeit nicht einsteigen. Als Richtung käme für mich ausschließlich ein ungehebelter Spot-Long infrage. Erst wenn XMR eine Stunde lang oberhalb von 645 US-Dollar schließt, einen Rücksetzer auf 642 US-Dollar hält und die Spot-Markttiefe sowie Ein- und Auszahlungen für XMR auf der genutzten Plattform normal sind, würde ich mit höchstens 2 % meines Gesamtkapitals eine Testposition eröffnen. Das erste Kursziel läge bei 655 US-Dollar; dort würde ich die Hälfte verkaufen. Beim zweiten Ziel von 665 US-Dollar würde ich die Position vollständig schließen oder für den Rest einen Trailing-Stop nutzen. Den Stop-Loss würde ich unter dem Tief des Rücksetzers setzen; der maximale Abstand dürfte 3 % des Einstiegskurses nicht überschreiten. Schließt eine Stundenkerze unter 642 US-Dollar, verschlechtert sich der Status der Handelswege oder ändert eine Projektmitteilung die Faktenlage, würde ich vorzeitig aussteigen. Solange diese Bedingungen nicht erfüllt sind, bleibe ich an der Seitenlinie und stelle Beobachtungen nicht als Gewinne dar.

#XMR
Dies ist lediglich meine persönliche Marktbeobachtung und keine Anlageberatung.

Signaturkorrektur für XMR-Wallets wird geprüft｜Kein Hinweis auf eine Kompromittierung des Mainnets｜Erst oberhalb von 636,90 US-Dollar kommt ein Testtrade infrage

Meine Haltung: Erst die Risikogrenzen überprüfen, dann auf den Preis schauen – und nicht einer Schlagzeile über einen Code-Commit hinterherlaufen. Die heutigen Binance-Plaza-Trends drehen sich weiterhin hauptsächlich um Auszahlungen auf der Plattform, den französischen Steuerfall und Makrothemen. In den „Most Searched“-Daten der letzten sechs Stunden ist XMR nicht mit „steigende Aufmerksamkeit“ markiert. Deshalb klebe ich diesem Beitrag keine irrelevanten Trend-Tags an, sondern konzentriere mich auf eine konkrete neue Änderung im offiziellen Monero-Code-Repository.

Im Haupt-Repository von Monero wurde am 3. November der PR #11675 mit dem Titel „wallet: reject unverifiable message signatures“ eröffnet. Zum Zeitpunkt der Veröffentlichung ist er noch offen und wartet auf die Prüfung. Der Einreicher erklärt: Eine Nur-Lese-Wallet verfügt über keinen verfügbaren privaten Ausgabeschlüssel. Wenn die Wallet-API oder RPC standardmäßig mit einem privaten Ausgabeschlüssel signiert, kann ein offizieller Build eine Nachrichtensignatur zurückgeben, die sich nicht verifizieren lässt. Der Patch soll vor dem Signieren prüfen, ob der ausgewählte private Schlüssel zum öffentlichen Schlüssel der Adresse gehört; falls nicht, soll die API oder RPC einen Fehler zurückgeben. Außerdem prüft er beide öffentlichen Schlüssel einer explizit angegebenen Adresse, damit die Signatur nicht von der angegebenen Adresse abweicht. Es geht hier um die Funktion, „nachzuweisen, dass eine Nachricht von einer bestimmten Adresse signiert wurde“, nicht um Signaturen für On-Chain-Überweisungen. Es gibt auch keinen Beleg dafür, dass private Schlüssel dadurch offengelegt, das Mainnet kompromittiert oder Guthaben gestohlen wurden.

Ich habe außerdem den älteren Eintrag #4212 im Monero-GUI-Repository aus dem Jahr 2023 herangezogen: Dort wurde bereits der Fall dokumentiert, dass eine Nur-Lese-Wallet versehentlich einen Ausgabeschlüssel verwendet und dadurch eine Signatur erzeugt, die sich nicht selbst verifizieren lässt. CLI/RPC bietet die Möglichkeit, explizit das Signieren mit einem View-Key auszuwählen. Der neue PR befasst sich mit diesem Grenzfall; das bedeutet nicht, dass das Problem erst heute aufgetreten ist. Die Aussage, der PR habe die Tests bestanden, stammt vom Einreicher. Er wartet noch auf die Prüfung und wurde weder bereits zusammengeführt noch veröffentlicht. Die aktuelle offizielle Version auf der Website ist 0.18.5.4 vom 16. Oktober; ich habe keine Ankündigung auf der Website gesehen, dass diese Korrektur bereits in einer offiziellen Version enthalten ist. Wer mit einer Nur-Lese-Wallet einen Vermögensnachweis erstellt, sollte prüfen, ob die Signatur tatsächlich verifiziert wird, statt die bloße „Erzeugung einer Zeichenfolge“ als abgeschlossenen Nachweis zu betrachten.

Warum ist das für den Handel relevant? Aufgrund der Datenschutzmerkmale von XMR sind Dritte stärker auf konforme Kanäle, Wallets und überprüfbare Nachweise für Vorgänge angewiesen. Die Vertrauenswürdigkeit des Nachweisverfahrens ist für Verwahrung und außerbörsliche Abwicklungen relevant. Eine noch nicht zusammengeführte Wallet-Korrektur verändert kurzfristig jedoch nicht automatisch das On-Chain-Angebot und erzeugt auch keine Kaufnachfrage. In seiner jüngsten Prüfung von Anbietern virtueller Vermögenswerte hat die FATF XMR ebenfalls nicht namentlich erwähnt. Daraus lassen sich weder ein Verbot noch positive Nachrichten herbeifantasieren. Bei seinem letzten Beschluss beließ die US-Notenbank den Zielkorridor bei 3,75 % bis 4 %; die makroökonomische Liquidität bleibt ein Hintergrundfaktor. Zum Zeitpunkt der Veröffentlichung liegt XMR/USD auf Kraken bei etwa 632,47 US-Dollar. Der Tagesstart lag bei 630,00 US-Dollar, die Spanne der letzten 24 Stunden bei 602,20 bis 636,90 US-Dollar. Der Kurs liegt damit leicht über dem Tagesstart, hat aber das Hoch der Spanne nicht durchbrochen. Der Anstieg lässt sich also nicht diesem PR zuschreiben.

Wenn ich selbst handeln würde, wäre ich jetzt nicht dabei. Als Richtung käme für mich nur ein ungehebelter Long-Trade am Spotmarkt infrage. Ich würde warten, bis der Stundenkurs oberhalb von 636,90 US-Dollar schließt und bei einem Rücksetzer die Marke von 635 hält. Gleichzeitig würde ich überprüfen, ob die Kurse auf dem verwendeten Handelskanal stimmen und Ein- sowie Auszahlungen normal funktionieren. Erst dann würde ich mit höchstens 2 % des Gesamtkapitals einen Testtrade eingehen. Das erste Kursziel liegt bei 650 US-Dollar; dort würde ich die Position halbieren. Das zweite Ziel liegt bei 665 US-Dollar; den Rest würde ich mit einem Trailing-Stop absichern. Der anfängliche Stop-Loss läge bei 624 US-Dollar. Falls der Kurs unter 630 fällt und sich nicht erholt, bei der PR-Prüfung schwerwiegendere Sicherheitsinformationen auftauchen oder der Kanal plötzlich Einschränkungen einführt, würde ich vorzeitig schließen. Wird keines dieser Szenarien ausgelöst, bleibe ich weiter außen vor. Ich werde einen Plan keinesfalls als bereits ausgeführten Trade darstellen.

#XMR

Dies ist lediglich meine persönliche Marktbeobachtung und keine Anlageberatung.