Autor: Jan Krivonosow

Und da kommt die Nachricht nach der Nachricht, und jedes Mal kriegst du eine Gänsehaut. Am 30. Juli dieses Jahres wurden in nur 41 Minuten 1082 Bitcoins gestohlen – damals rund 70 Millionen Dollar. Einfach so haben sie 1196 Coldcard-Wallets geleert. Und das Verrückteste: Diese Geräte waren nicht einmal mit dem Internet verbunden, sie lagen einfach in Tresoren – und das Geld ging trotzdem weg. Warum? Es stellte sich heraus, dass der Zufallszahlengenerator in der Firmware einen Fehler hatte und die Seed-Phrasen vorhersehbar wurden. Der Angreifer hat das Gerät selbst nicht einmal gehackt: Er hat nur die Varianten auf seinem Computer durchprobiert und die Wallets gefunden, in denen etwas lag. Das ist ein ernsthafter Schlag für den Ruf von Hardware-Wallets, finden Sie nicht auch?

Aber Coldcard ist nicht der einzige Fall. Hardware-Wallets bekommen schon seit langem Probleme „anheftet“. Denken Sie an KeepKey: Experten von Kraken Security Labs haben herausgefunden, dass man innerhalb von 15 Minuten bei physischem Zugriff auf das Gerät die Seed-Phrase per Voltage-Glitching extrahieren kann. Und dieses Problem lässt sich überhaupt nicht durch ein Firmware-Update beheben, weil es im selben Mikrocontroller „eingebaut“ ist. Oder Trezor: Dort fand man letztes Jahr eine Schwachstelle, die es bei physischem Zugriff auf ein entsperrtes Gerät ermöglicht, die Mnemonik herauszuziehen. Oder eine aktuelle Untersuchung von Ledger Donjon, die zeigte, dass man eine Hardware-Wallet über Side-Channel-Angriffe auf HMAC-SHA-2 hacken kann — sogar ganz ohne physischen Kontakt mit dem Gerät. Außerdem gab es Fälle, in denen die Software der Hersteller selbst Seed-Phrasen geleakt hat — entweder über einen Backdoor in der Firmware oder weil ein Entwickler den Code nicht gründlich genug getestet hat. Und nun diese Geschichte mit Coldcard, die bereits in die zweite Welle gegangen ist — sie betraf mehr als zweieinhalbtausend Adressen, und die Leute wissen bis heute nicht, ob ihre Phrasen kompromittiert sind oder nicht. Es gibt keinen Test, der das überprüft.

Jetzt zu den „Hot Wallets“ — Trust Wallet, MetaMask, Phantom und ähnliche. Wichtig ist: Ihre Assets werden nie auf dem Telefon gespeichert und auch nicht in der Wallet selbst. Alle Coins liegen immer in der Blockchain, und die Wallet ist nur ein Browser, der den Kontostand anzeigt und das Signieren von Transaktionen ermöglicht. Aber die privaten Schlüssel und Ihre Seed-Phrase werden genau auf Ihrem Gerät gespeichert — verschlüsselt, aber trotzdem auf dem Telefon oder dem Computer, der mit dem Internet verbunden ist. Und hier gibt es auch eigene Risiken.

Das Hauptproblem ist Schadsoftware. Wenn Sie Android haben, können Sie sich leicht einen Virus einfangen, der alles überwacht, was Sie tun: welche Tasten Sie drücken, welche Apps Sie öffnen, wohin Sie wechseln. Und irgendwann fängt er einfach Ihre Seed-Phrase ab — wenn Sie sie eingeben oder wenn sie im Speicher des Telefons abgelegt ist. Kürzlich fand man zum Beispiel eine kritische Schwachstelle in MediaTek-Prozessoren, die in jedem vierten Android-Smartphone stecken. Ein Angreifer mit physischem Zugriff auf das Telefon konnte den PIN-Code und private Schlüssel aus Wallets in weniger als einer Minute extrahieren. Oder die Kampagne FakeWallet und SeaFlower: gefälschte Apps tarnten sich als MetaMask, Ledger, Trust Wallet — und stahlen einfach Seed-Phrasen beim Generieren. Oder Supply-Chain-Angriffe über den Snap Store, bei denen Angreifer die Konten vertrauenswürdiger Entwickler hackten und bösartige Updates veröffentlichten — die Leute gaben ihre Phrasen selbst ein und dachten, sie würden eine offizielle Wallet aktualisieren.

Das geschlossene iPhone-System ist in dieser Hinsicht tatsächlich sicherer. Dort ist die Chance geringer, auf eine Phishing-App zu stoßen, weil der App Store die Software streng prüft und die Installation aus nicht verifizierten Quellen ohne Jailbreak praktisch unmöglich ist. Außerdem ist das Secure Enclave für die Speicherung der Schlüssel auf Hardware-Ebene zuständig. Aber auch das ist keine Garantie — wenn Sie Ihre Seed-Phrase irgendwo selbst „sichtbar machen“, kann auch kein iPhone helfen. Und für mich ist das Risiko hier sogar noch geringer als bei Hardware-Wallets, die nach und nach ihre Unzuverlässigkeit zeigen.

Also, was ist zu tun? Wie bewahrt man seine Assets richtig auf, damit sie nicht gestohlen werden? Ich habe das schon oft gesagt, aber ich wiederhole es.

Erstens: Diversifizieren Sie Ihre Rücklagen. Wenn Sie Bitcoin haben, halten Sie nicht alles an einem Ort. Verteilen Sie mindestens 50 % auf zwei verschiedene Wallets.

Falls es ihnen dann gelingt, Ihnen die Hälfte zu stehlen, bleibt die andere Hälfte trotzdem. Und früher oder später wächst sie wieder nach und gibt Ihnen das Verlorene zurück.

Zweitens: Machen Sie Folgendes. Nehmen Sie ein altes iPhone, nicht neuer als Modell 11 oder 12. Löschen Sie es vollständig, setzen Sie alle Einstellungen auf Werkseinstellungen zurück. Erstellen Sie eine neue Apple-ID, eine neue E-Mail-Adresse, die Sie sonst nirgends verwenden. Keine SIM-Karte einstecken. Das Internet verteilen Sie von einem anderen Telefon per WLAN — also verbindet sich dieses iPhone nicht einmal mit dem Mobilfunknetz. Installieren Sie darauf Trust Wallet oder eine andere geprüfte Wallet, erstellen Sie eine neue Wallet, und schreiben Sie die Seed-Phrase auf Papier (Achtung — nicht auf dem Telefon, nicht in Fotos, nicht in der Cloud, nur auf einem physischen Datenträger). Übertragen Sie dorthin Ihre Assets, prüfen Sie, dass alles angekommen ist, und danach schalten Sie das Telefon aus und legen es in eine Schublade. Einschalten werden Sie es nur dann, wenn Sie etwas senden oder den Kontostand prüfen müssen. Und zwischen den Sitzungen liegt es einfach ausgeschaltet.

Das Knacken eines solchen Geräts, das zu 99 % der Zeit gar nicht mit dem Internet interagiert und praktisch ausgeschaltet ist, ist nahezu unmöglich. Der einzige Weg, Geld zu verlieren, ist, die Seed-Phrase zu verlieren. Deshalb schenken Sie der Aufbewahrung die größte Aufmerksamkeit: ein zuverlässiger Ort, Duplikate bei vertrauenswürdigen Personen, Schutz vor Feuer und Wasser.

Und merken Sie sich das Wichtigste — ich wiederhole es extra: Ihre Assets werden niemals weder auf dem Telefon noch in der Wallet gespeichert. Sie sind immer in der Blockchain. Hardware-Wallets und Hot Wallets wie Trust Wallet oder MetaMask sind nur Schnittstellen, die die Schlüssel zu Ihrem Geld bereitstellen. Der Unterschied zu Verwahrdiensten (Custodial), wie Börsen oder anderen Drittanbietern, bei denen man Ihnen die Krypto wirklich „für Sie“ verwahren lässt, besteht darin, dass diese Dienste Ihre Coins tatsächlich in ihrem eigenen internen Wallet nehmen und Ihnen in der App nur den Kontostand anzeigen. Das würde ich vermeiden — Sie kontrollieren Ihre Schlüssel nicht, also kontrollieren Sie auch Ihr Geld nicht. Egal, ob Sie einer Börse vertrauen oder nicht: Das Risiko von Hacks, Insolvenz oder Kontosperrung ist immer da.

Zusammenfassend: Hardware-Wallets sind nicht mehr der Maßstab — das haben Dutzende Vorfälle in den letzten paar Jahren bewiesen. „Hot Wallets“ auf dem iPhone können mit vernünftigen Vorsichtsmaßnahmen sogar sicherer sein. Die wichtigsten Regeln: Auf unterschiedliche Orte verteilen, ein dediziertes altes Smartphone ohne SIM verwenden, die Seed-Phrase nur auf Papier aufbewahren und sie niemals im Internet „sichtbar machen“. Niemand kann Ihre Gelder besser schützen als Sie selbst.