Neuer Entwurf zur Sicherheit der XMR-Wallet｜Alte sensible Inhalte sollen zuerst gelöscht werden｜Bei etwa 595 steige ich nicht hinterher ein
Meine Haltung bleibt: weiter vorsichtig beobachten und den Fortschritt der Codeprüfung von bereits veröffentlichten Sicherheitskorrekturen trennen. In jeder Runde prüfe ich zuerst die Trending Topics und Most Searched der Binance Plaza der vergangenen sechs Stunden: Die aktuellen Top-Themen drehen sich hauptsächlich um die anhaltende Talfahrt von Bitcoin, den CPI und Liquidationen. Ein präzises, direkt auf XMR bezogenes Thema ist nicht zu sehen, daher springe ich in diesem Artikel nicht auf irrelevante Schlagwörter auf. Ein am 9. November neu eröffnetes PR im Monero-Kern-Repository, #11715, schlägt vor, die Zuweisungslogik von `wipeable_string` zu ändern. Der Entwickler erklärt, dass beim Kopieren und Zuweisen der alte Pufferinhalt zuvor durch den neuen überschrieben werden konnte, ohne vorher gelöscht zu werden. Der Codevergleich zeigt den neuen Ablauf: zuerst den zu schreibenden Inhalt kopieren, dann den alten Puffer mit `wipe()` bereinigen und zuletzt den neuen Inhalt verschieben. Auf der Seite ist zu sehen, dass ein Maintainer der Prüfung bereits zugestimmt hat. Das PR ist jedoch weiterhin offen und mit „zur Überprüfung“ sowie „Backport erforderlich“ gekennzeichnet. Daher kann man nicht behaupten, dass die offizielle Version bereits korrigiert wurde.
Warum sind solche Korrekturen für Privacy-Wallets wichtig? Die Datenschutzfunktionen von Monero liegen hauptsächlich in der Struktur der On-Chain-Transaktionen. Bei der lokalen Verarbeitung sensibler Daten muss eine Wallet dennoch die Regeln zur Speicherbereinigung einhalten. Wenn alte Daten in Speicherbereichen verbleiben, in denen sie nicht aufbewahrt werden sollten, könnte dies theoretisch die Angriffsfläche für lokale forensische Untersuchungen oder das Auslesen durch Schadsoftware vergrößern. Dieses PR selbst liefert jedoch keine Belege dafür, dass Vermögenswerte von Nutzern tatsächlich gestohlen wurden, private Schlüssel offengelegt wurden oder ein Fernangriff möglich ist. Aus einer kleinen Codekorrektur darf man keinen Sicherheitsvorfall im gesamten Netzwerk ableiten. Auf der aktuellen Download-Seite der offiziellen Website wird weiterhin GUI 0.18.5.4 aufgeführt; diese Änderung kann also noch nicht als ein Update gelten, das Nutzer bereits erhalten haben. Für Inhaber ist es sinnvoller, die offizielle Veröffentlichung und die Signaturprüfung im Auge zu behalten und die Gerätesicherheit zu gewährleisten, statt wegen des Wortes „Korrektur“ blind die Wallet zu wechseln oder Geld zu überweisen.
Auch die Reaktion des Marktes muss sachlich beschrieben werden. Die Kraken-Marktschnittstelle lieferte diesmal vorübergehend die Meldung, dass der Dienst nicht verfügbar sei. Deshalb habe ich die öffentlichen Marktdaten von XMR/USDT auf KuCoin zur Überprüfung herangezogen: Zum Zeitpunkt der Texterstellung lag der Kurs bei etwa 594,73 US-Dollar, mit einem rollierenden 24-Stunden-Hoch von 606,24 und einem Tief von 589; der Rückgang betrug etwa 1,85 %. Das zeigt lediglich, dass XMR weiterhin in einer schwachen Spanne gehandelt wird. Es beweist nicht, dass der Codeentwurf den Kursrückgang verursacht hat. Ich habe die offiziellen Seiten von Binance News, Research und OTC geprüft und keine offizielle Mitteilung gefunden, die dieses PR als auf dem Mainnet eingeführt darstellt. Auch bei Informationen von Zentralbanken, Aufsichtsbehörden, ETFs und zur Sicherheit von Börsen gibt es keine ausreichenden Belege dafür, dass diese Codeprüfung direkt als neue institutionelle Nachfrage nach XMR eingepreist wird. Zwischen technischem Fortschritt und Marktgeldern liegen weiterhin mehrere Schritte: Zusammenführung, Veröffentlichung, Nutzung und Risikobereitschaft.
Wenn ich selbst handeln würde, würde ich mich derzeit nicht beteiligen. Als Richtung käme nur ein vorsichtiger Long-Einstieg am Spotmarkt ohne Hebel infrage, mit einer Positionsobergrenze von 1 % des Gesamtkapitals. Erst wenn zwei vollständige 15-Minuten-Kerzen wieder über 600 schließen und ein Rücksetzer auf 598–600 stabil bleibt, würde ich nach Bestätigung einsteigen. Bei 606 würde ich die Hälfte verkaufen, bei 614 die Hälfte der verbleibenden Position. Fällt der Restbestand wieder unter 600, würde ich die gesamte Position schließen. Nach dem Einstieg würde ich bei einem Fall unter 592 sofort per Stop-Loss aussteigen. Wird 589 bereits vor dem Einstieg unterschritten, verwerfe ich den gesamten Plan. Sollte das PR später abgelehnt oder die Änderung nicht in eine offizielle Version aufgenommen werden, würde ich auch meine Einschätzung, dass die Korrektur voranschreitet, revidieren. Umgekehrt müsste selbst bei erfolgreicher Zusammenführung geprüft werden, ob Kurs und Handelsvolumen dies bestätigen. Ein Code-Commit kann keine Käufe ersetzen. Ein nicht ausgelöster Plan ist kein Trade und erst recht kein Gewinn.
Quellen: Monero-Kern-Repository, PR #11715 und Codevergleich, offizielle Monero-Download-Seite, KuCoin-Echtzeitkurse, Trending Topics der Binance Plaza. #XMR
Dies ist lediglich meine persönliche Marktbeobachtung und keine Anlageberatung.
Meine Haltung bleibt: weiter vorsichtig beobachten und den Fortschritt der Codeprüfung von bereits veröffentlichten Sicherheitskorrekturen trennen. In jeder Runde prüfe ich zuerst die Trending Topics und Most Searched der Binance Plaza der vergangenen sechs Stunden: Die aktuellen Top-Themen drehen sich hauptsächlich um die anhaltende Talfahrt von Bitcoin, den CPI und Liquidationen. Ein präzises, direkt auf XMR bezogenes Thema ist nicht zu sehen, daher springe ich in diesem Artikel nicht auf irrelevante Schlagwörter auf. Ein am 9. November neu eröffnetes PR im Monero-Kern-Repository, #11715, schlägt vor, die Zuweisungslogik von `wipeable_string` zu ändern. Der Entwickler erklärt, dass beim Kopieren und Zuweisen der alte Pufferinhalt zuvor durch den neuen überschrieben werden konnte, ohne vorher gelöscht zu werden. Der Codevergleich zeigt den neuen Ablauf: zuerst den zu schreibenden Inhalt kopieren, dann den alten Puffer mit `wipe()` bereinigen und zuletzt den neuen Inhalt verschieben. Auf der Seite ist zu sehen, dass ein Maintainer der Prüfung bereits zugestimmt hat. Das PR ist jedoch weiterhin offen und mit „zur Überprüfung“ sowie „Backport erforderlich“ gekennzeichnet. Daher kann man nicht behaupten, dass die offizielle Version bereits korrigiert wurde.
Warum sind solche Korrekturen für Privacy-Wallets wichtig? Die Datenschutzfunktionen von Monero liegen hauptsächlich in der Struktur der On-Chain-Transaktionen. Bei der lokalen Verarbeitung sensibler Daten muss eine Wallet dennoch die Regeln zur Speicherbereinigung einhalten. Wenn alte Daten in Speicherbereichen verbleiben, in denen sie nicht aufbewahrt werden sollten, könnte dies theoretisch die Angriffsfläche für lokale forensische Untersuchungen oder das Auslesen durch Schadsoftware vergrößern. Dieses PR selbst liefert jedoch keine Belege dafür, dass Vermögenswerte von Nutzern tatsächlich gestohlen wurden, private Schlüssel offengelegt wurden oder ein Fernangriff möglich ist. Aus einer kleinen Codekorrektur darf man keinen Sicherheitsvorfall im gesamten Netzwerk ableiten. Auf der aktuellen Download-Seite der offiziellen Website wird weiterhin GUI 0.18.5.4 aufgeführt; diese Änderung kann also noch nicht als ein Update gelten, das Nutzer bereits erhalten haben. Für Inhaber ist es sinnvoller, die offizielle Veröffentlichung und die Signaturprüfung im Auge zu behalten und die Gerätesicherheit zu gewährleisten, statt wegen des Wortes „Korrektur“ blind die Wallet zu wechseln oder Geld zu überweisen.
Auch die Reaktion des Marktes muss sachlich beschrieben werden. Die Kraken-Marktschnittstelle lieferte diesmal vorübergehend die Meldung, dass der Dienst nicht verfügbar sei. Deshalb habe ich die öffentlichen Marktdaten von XMR/USDT auf KuCoin zur Überprüfung herangezogen: Zum Zeitpunkt der Texterstellung lag der Kurs bei etwa 594,73 US-Dollar, mit einem rollierenden 24-Stunden-Hoch von 606,24 und einem Tief von 589; der Rückgang betrug etwa 1,85 %. Das zeigt lediglich, dass XMR weiterhin in einer schwachen Spanne gehandelt wird. Es beweist nicht, dass der Codeentwurf den Kursrückgang verursacht hat. Ich habe die offiziellen Seiten von Binance News, Research und OTC geprüft und keine offizielle Mitteilung gefunden, die dieses PR als auf dem Mainnet eingeführt darstellt. Auch bei Informationen von Zentralbanken, Aufsichtsbehörden, ETFs und zur Sicherheit von Börsen gibt es keine ausreichenden Belege dafür, dass diese Codeprüfung direkt als neue institutionelle Nachfrage nach XMR eingepreist wird. Zwischen technischem Fortschritt und Marktgeldern liegen weiterhin mehrere Schritte: Zusammenführung, Veröffentlichung, Nutzung und Risikobereitschaft.
Wenn ich selbst handeln würde, würde ich mich derzeit nicht beteiligen. Als Richtung käme nur ein vorsichtiger Long-Einstieg am Spotmarkt ohne Hebel infrage, mit einer Positionsobergrenze von 1 % des Gesamtkapitals. Erst wenn zwei vollständige 15-Minuten-Kerzen wieder über 600 schließen und ein Rücksetzer auf 598–600 stabil bleibt, würde ich nach Bestätigung einsteigen. Bei 606 würde ich die Hälfte verkaufen, bei 614 die Hälfte der verbleibenden Position. Fällt der Restbestand wieder unter 600, würde ich die gesamte Position schließen. Nach dem Einstieg würde ich bei einem Fall unter 592 sofort per Stop-Loss aussteigen. Wird 589 bereits vor dem Einstieg unterschritten, verwerfe ich den gesamten Plan. Sollte das PR später abgelehnt oder die Änderung nicht in eine offizielle Version aufgenommen werden, würde ich auch meine Einschätzung, dass die Korrektur voranschreitet, revidieren. Umgekehrt müsste selbst bei erfolgreicher Zusammenführung geprüft werden, ob Kurs und Handelsvolumen dies bestätigen. Ein Code-Commit kann keine Käufe ersetzen. Ein nicht ausgelöster Plan ist kein Trade und erst recht kein Gewinn.
Quellen: Monero-Kern-Repository, PR #11715 und Codevergleich, offizielle Monero-Download-Seite, KuCoin-Echtzeitkurse, Trending Topics der Binance Plaza. #XMR
Dies ist lediglich meine persönliche Marktbeobachtung und keine Anlageberatung.
