Knoten wurden kompromittiert – das Ärgerlichste ist oft nicht das Stillstehen, sondern der Schlüssel, mit dem man täglich abstimmt. Damit könnte man möglicherweise auch das Staking abziehen. Ich habe das früher immer auf „schlecht verwaltete Server“ zurückgeführt, bis ich auf den Node-Wallet-Guide von Dusk gestoßen bin. In dem Abschnitt „Owner vs Consensus Keys“ hat sich meine Sicht geändert.
Dusk erlaubt es, zwei Berechtigungen auf derselben Adresse zu hinterlegen: Der Consensus Key ist für Abstimmung und das Signieren von Blöcken zuständig, während der Owner Key das Aufheben des Stakings und Auszahlungen verwaltet. Wenn kein zusätzlicher Owner gesetzt ist, übernimmt der Consensus Key beides. Die Dokumentation empfiehlt: Wenn man das Risiko eines Knotens und den „Geldabfluss“ trennen möchte, sollte man eine eigene Owner-Adresse einrichten.
Ich dachte früher, eine zusätzliche Schlüsselrolle bedeute nur mehr Betriebsaufwand. Jetzt sehe ich darin eher ein Eingeständnis: Der Knoten muss langfristig online sein, aber die Kontrolle über die Vermögenswerte muss nicht dauerhaft neben dieser Maschine liegen.
Das Szenario ist im Grunde nicht kompliziert: Die Serverberechtigung wird geleakt, aber der Owner Key liegt nicht auf dem Server. Der Angreifer kann den Knoten stören, aber das Staking lässt sich nicht direkt abziehen. Wenn beide Berechtigungen dauerhaft zusammengebunden sind, wird aus einem Betriebsproblem ein Finanzproblem. Natürlich erfordert die Aufbewahrung und Übergabe des Owner Keys dann auch mehr Sorgfalt.
Daher betrachte ich dieses Design als eine Aufteilung von Risiken – nicht als eine Sicherheitsgarantie.@Dusk Wenn es den Betreibern von normalen Knoten hilft, weniger Stolperfallen zu erleben, dann sollte man klarer erklären, welche Folgen „gleiche Adresse“ und „getrennte Adresse“ jeweils mit sich bringen.$DUSK Eine wirklich gereifte Node-Ökologie bedeutet nicht nur, wie viele Knoten es gibt – sondern auch, ob die Betreiber verstehen, welcher Schlüssel tatsächlich Geld bewegen kann.#dusk