• Maskierte Räuber überfielen am 6. Februar ein Wohnhaus in Juilly, Frankreich, und suchten nach 660 BTC im Wert von rund 40 Millionen €.
• In der Ledger-Wallet des Opfers lagen nur 0,066 BTC im Wert von etwa 4.000 € – eine Abweichung um den Faktor 10.000.
• Die Räuber nahmen Geräte und eine Tasche mit; der Gesamtschaden blieb unter 10.000 €.
Ein Dezimalfehler um den Faktor 10.000
Der Plan scheiterte am 6. Februar um 4:30 Uhr morgens in Juilly, einer Gemeinde im französischen Département Seine-et-Marne. Vier bis fünf maskierte Eindringlinge drangen gewaltsam in ein Wohnhaus ein, überwältigten die drei Bewohner und riefen einen mutmaßlichen Drahtzieher an, der den Überfall von außerhalb koordinierte. Der Drahtzieher tauchte nie am Tatort auf, und jede Anweisung an diesem Morgen wurde telefonisch übermittelt. Auf seine Anweisung hin schloss der Vater seine Ledger-Hardware-Wallet an einen Computer an. Auf dem Bildschirm wurde ein Kontostand von 0,066 Bitcoin (BTC) angezeigt, damals etwa 4.000 € wert. Die Männer hatten den Überfall auf 660 BTC ausgerichtet, ein Vermögen, das zum damaligen Bitcoin-Kurs (BTC) fast 40 Millionen € wert war – eine Summe, die jeden Besitzer als Krypto-Wal identifiziert hätte. Zwischen den beiden Zahlen liegt ein Faktor von 10.000. Ein Gerät dieser Art verwahrt seine Schlüssel offline; ein Ledger-Wiederherstellungsschlüssel ist wichtig, wenn der Besitzer sein Guthaben andernorts wiederherstellt, nicht wenn ein Kontostand auf dem Bildschirm angezeigt wird. In der eigenen Buchführung der Wallet gab es keinen Zweifel: Das Gerät verwaltet bestimmte Adressen, und auf diesen Adressen lag nur ein Bruchteil dessen, was die Akte versprach. Die Person am Telefon bemerkte den Fehler sofort. Die Männer verschwanden mit den Handys der Familie, einem Computergehäuse und der Tasche der Mutter – Beute im Gesamtwert von weniger als 10.000 €, verglichen mit der erwarteten Summe von mehreren zehn Millionen Euro. Alle drei Bewohner wurden während des Einbruchs verletzt. Die Polizei verfolgte später anhand von Überwachungsaufnahmen die Spur bis zum Fluchtauto, das sich als gestohlen herausstellte.
Das Strafgericht in Meaux, zuständig für das Département östlich von Paris, machte aus einem ungelösten Einbruch einen Fall, in dem am 16. Oktober ein Urteil erging: Zwei Angeklagte erhielten unbedingte Haftstrafen – ein 19-Jähriger drei Jahre und ein 25-Jähriger 18 Monate. Ein breites Publikum erfuhr am 28. Oktober von dem Urteil, als Le Parisien die Akte ausführlich darlegte. Quellen aus dem Umfeld des Falls sagten der Zeitung, die Täter hätten ihre Zielinformationen in den Wochen vor dem Überfall aus einem Datenleck bei einer Plattform für die steuerliche Meldung von Kryptowährungen erhalten. Plattformen dieser Art verfügen über genau die Kombination, die ein physischer Überfall erfordert: eine Identität, die mit einem angegebenen Vermögen verknüpft ist. In der Steuererklärung der Familie war das Komma verrutscht: Auf dem Papier standen 660 BTC, tatsächlich waren es 0,0660 BTC – eine Abweichung um den Faktor 10.000, die aus einem bescheidenen Guthaben einen Köder im Wert von 40 Millionen Euro machte. Beide Männer wurden am 13. Oktober festgenommen, acht Monate nach dem Überfall. Der 25-Jährige saß wegen wiederholten Fahrens ohne Führerschein bereits in der Justizvollzugsanstalt Lille-Annœullin in Haft; der 19-Jährige wurde in Roubaix aufgegriffen. Das Datenleck liegt nur wenige Wochen vor dem Überfall, die Zielliste wurde also in einem kurzen Zeitraum zusammengestellt, weitergegeben und genutzt. Das Urteil des Gerichts betrifft die beiden inhaftierten Männer; der Einbruch in die Plattform, durch den die Liste entstand, die übrigen Komplizen und der mutmaßliche Drahtzieher, der am 6. Februar die telefonischen Anweisungen gab, fallen nicht darunter. Festnahmen wurden in diesen Fällen nicht gemeldet.
Das Guthaben war die ganze Zeit öffentlich
An diesem Ziel war nie etwas verborgen. Die öffentliche Blockchain von Bitcoin, die von seinem Proof-of-Work-Netzwerk geführt wird, zeigt das Guthaben jeder Adresse, und die geleakte Datei verwies auf einen bestimmten Haushalt. Eine einzige Abfrage hätte den Kontostand von 0,066 angezeigt, noch bevor jemand ein Auto gebucht hätte. Stattdessen beruhte der Einsatz auf einem falsch gesetzten Komma und endete, sobald die tatsächliche Zahl auf dem Bildschirm erschien. Das ist das ganze Ausmaß dessen, was am 6. Februar endete: ein bewaffneter Überfall, organisiert auf Grundlage einer Zahl, die kein Blockchain-Explorer bestätigt hätte. Das Urteil vom 16. Oktober betrifft die ausführenden Täter; der Drahtzieher am Telefon und der Einbruch in die Steuerplattform, aus dem die Liste stammte, sind weiterhin nicht gefasst. Für Leserinnen und Leser, die Sicherheitsvorfälle rund um Bitcoin verfolgen, wird die nächste Entwicklung in diesem Fall von dieser Seite der Akte kommen.