Nach dem Coldcard-Vorfall wird erneut die Frage aufgeworfen: Wenn Hardware-Wallets ebenfalls Fehler machen können und möglicherweise bereits ab dem Moment der Schlüsselerzeugung Schwachstellen hinterlassen, warum sollten wir unsere Vermögenswerte dann überhaupt selbst verwahren?
Unsere Einschätzung ist: Selbstverwahrung bleibt wichtig. Sie gibt dem Nutzer die letztendliche Autorisierung für On-Chain-Operationen und bewahrt die Möglichkeit einer unabhängigen Migration, falls Plattformen oder Dienste ausfallen. Coldcard hat diesen Wert nicht verändert, aber uns dazu gebracht, neu zu überdenken, wie man sicher Kontrolle besitzt.
Sicherheit kann man nicht nur an einem Etikett festmachen
Laut der offiziellen Ankündigung von Coldcard und der technischen Analyse von Block führte ein Firmware-Integrationsfehler dazu, dass einige Geräte nicht wie vorgesehen die Hardware-Zufallszahlen verwendeten, sondern auf einen vorhersehbaren Software-Zufallszahlenpfad zurückgriffen. Oberflächlich normale Mnemonics könnten bereits ab der Schlüsselerzeugungsphase nicht das erforderliche Sicherheitsniveau erreicht haben.
In vielen öffentlichen Fällen haben Nutzer weder auf Phishing-Links geklickt noch ihre Mnemonics preisgegeben, sondern lediglich den Standardablauf des Produkts zur Erstellung einer Wallet befolgt. Das Problem trat an der Quelle der Schlüsselerzeugung auf; selbst eine spätere sorgfältige Aufbewahrung kann diese Lücke nicht schließen.
Dieser Vorfall hat eine verbreitete kognitive Abkürzung durchbrochen: Hardware, Offline oder Open Source können die Sicherheit erhöhen, aber kein einzelnes Etikett kann für sich genommen eine Sicherheitsaussage darstellen. Auch normale Nutzer können die Firmware nicht Zeile für Zeile prüfen. Dass der Standardpfad zuverlässig ist, ist eigentlich die Verantwortung, die ein Sicherheitsprodukt übernehmen sollte.
Nach dem Vorfall gab OKX an, dass die Plattform erhebliche Mittelzuflüsse verzeichnete. CZ verwies anschließend auf historische Daten und stellte fest, dass „aus statistischer Sicht die Aufbewahrung von Vermögenswerten auf Börsen sicherer ist als die Selbstverwahrung". Dass dieser Aussage zugestimmt wird, ist nicht überraschend.
Reife Verwahrungsinstitute können mehr Ressourcen investieren und professionelle Sicherheits- und Wiederherstellungssysteme aufbauen. Für Menschen ohne Erfahrung in der Schlüsselverwaltung kann es tatsächlich das Risiko und die Schwierigkeit der individuellen Schlüsselverwaltung verringern, wenn diese Aufgabe von Institutionen übernommen wird. Dies anzuerkennen schwächt den Wert der Selbstverwahrung nicht, sondern bringt die Diskussion zurück zur realen Situation der Nutzer.
Aber historische Verlustzahlen können heute keine direkte Antwort geben. Die von CZ zitierte River-Studie zeigt auch, dass die Daten zu dauerhaft verlorenen Bitcoins in der Frühzeit schwer genau zuzuordnen sind, wobei der Großteil vor 2020 stattfand; Börsenverluste sind ebenfalls nicht vollständig erfasst, und einige Entschädigungen wurden nicht abgezogen. Diese kumulierten Zahlen sind auch nicht nach Vermögensgröße und Haltedauer angepasst. Sie zeigen, dass beide Methoden enorme Verluste verursacht haben, reichen aber nicht aus, um das heutige tatsächliche Risiko zu messen.
Wichtiger ist, dass solche Vergleiche normalerweise nur erfassen, ob Vermögenswerte verloren gegangen sind, aber selten beantworten, ob sie bei Bedarf abgehoben werden können und ob man die Plattform verlassen kann, wenn Probleme auftreten. Verwahrung kann den Druck der persönlichen Schlüsselverwaltung verringern, führt aber auch dazu, dass Nutzer von der kontinuierlichen Betriebsfähigkeit der Institution, der Erfüllung von Auszahlungsverpflichtungen und dem Zugang zu Konten abhängig sind.
Selbstverwahrung bewahrt einen anderen Weg
Selbstverwahrung ist im Wesentlichen eine Kontrollvereinbarung. Bei üblichen Selbstverwahrungskonten verfügt der Nutzer über den privaten Schlüssel oder die für die Signatur erforderlichen Schlüsselbedingungen; Wallet-Entwickler und andere Dienstleister können nicht einseitig eine gültige Autorisierung vornehmen.
Solange der Nutzer weiterhin über gültige Schlüssel oder Backups verfügt, kann das Konto in der Regel auch dann wiederhergestellt werden, wenn die ursprüngliche Wallet ihren Dienst einstellt, indem kompatible Tools verwendet werden; wenn der Nutzer Vermögenswerte übertragen oder On-Chain-Anwendungen nutzen möchte, muss er nicht erst auf die Freigabe von Abhebungen durch eine Plattform warten.
Dieser unabhängige Weg ist der wichtigste Wert der Selbstverwahrung.
Er hat natürlich Grenzen. Netzwerk- und Vertragsregeln können die Nutzung von Vermögenswerten weiterhin beeinflussen. Was die Selbstverwahrung bewahrt, ist, dass die letztendliche Autorisierung für On-Chain-Operationen nicht vollständig von einer einzelnen Institution abhängen muss, nicht die absolute Kontrolle über alle externen Bedingungen.
Dieser Wert ist bei normalem Betrieb der Plattform nicht offensichtlich. Er ähnelt einem Backup: Er macht den täglichen Betrieb nicht schneller, entscheidet aber, ob der Nutzer noch eine Wahl hat, wenn der ursprüngliche Weg ausfällt.
Daher gibt es keine universelle Antwort für alle zwischen Verwahrung und Selbstverwahrung. Für diejenigen, die vorübergehend nicht in der Lage sind, Schlüssel sicher zu verwalten, ist die Wahl eines sorgfältig geprüften Verwahrungsdienstes vernünftig; für diejenigen, die die Abhängigkeit von einer einzelnen Institution verringern möchten, ist es ebenso wichtig, einen unabhängig wiederherstellbaren und migrierbaren Weg zu etablieren. Entscheidend ist nicht, auf welcher Seite man steht, sondern sich klar zu machen, welche Risiken man abgibt und welche Fähigkeiten man behält.
Kontrolle sollte nicht alleinige Last des Nutzers sein
Dass der Nutzer den privaten Schlüssel kontrolliert, bedeutet nicht, dass die Produktseite weniger Sicherheitsverantwortung übernehmen kann. Normale Nutzer können den vollständigen Prozess von der Schlüsselerzeugung bis zum Firmware-Build eines Geräts nicht verifizieren. Produkte müssen kritische Pfade verifizieren, Anomalien rechtzeitig aufdecken und nach Problemen transparent reagieren. Sicherheit sollte aus zuverlässigem Standarddesign stammen und nicht darauf beruhen, dass Nutzer versteckte technische Risiken entdecken.
Nutzer müssen auch bestätigen, dass Backups tatsächlich wiederhergestellt werden können, verstehen, was sie vor der Signatur autorisieren, und im Voraus wissen, wie sie migrieren können, wenn wichtige Tools ausfallen. Aber diese Fähigkeiten können schrittweise aufgebaut werden. Selbstverwahrung sollte keine Qualifikationsprüfung sein, die von allen verlangt, sofort alle Vermögenswerte zu übertragen, und auch nicht von jedem verlangen, ein Kryptographie-Experte zu werden.
Für imToken bedeutet die Unterstützung der Selbstverwahrung, damit zu beginnen, diese Wahl zuverlässiger zu machen. Nutzer müssen verstehen können, was sie autorisieren, wissen, wie sie wiederherstellen können, und sollten bei Bedarf auch zu kompatiblen Tools migrieren können. Nur so ist Kontrolle nicht nur eine leere Phrase.
Der Coldcard-Vorfall hat die Selbstverwahrung nicht weniger wichtig gemacht, im Gegenteil, er hat die Sicherheitsverantwortung konkreter gemacht. Die nächste Aufgabe besteht darin, zu lösen, wie man bei gleichzeitiger Wahrung der Nutzerkontrolle Sicherheit, Wiederherstellung und Benutzererfahrung zuverlässiger gestalten kann.
Nutzer können sich für Verwahrung entscheiden und sie bei Bedarf auch verlassen; sie können Kontrolle besitzen, ohne die gesamte Komplexität allein tragen zu müssen. Das ist die Bedeutung, die wir nach Coldcard der erneuten Diskussion über Selbstverwahrung beimessen.
