Schlüssel, Adressen und Wiederherstellungsphrasen

Vier verschiedene Dinge, die alle „die Wallet“ heißen

Eine Adresse ist eine öffentliche Kennung. Dorthin wird Wert gesendet, sie zu diesem Zweck zu teilen ist unbedenklich, und sie offenbart deine Aktivität allen, die hinsehen. Ein öffentlicher Schlüssel wirkt daran mit zu prüfen, ob eine Signatur echt ist. Ein privater Schlüssel autorisiert Handlungen: Er erzeugt die Signatur, die das Netzwerk prüft. Eine Wiederherstellungsphrase – meist zwölf oder vierundzwanzig gewöhnliche Wörter – ist eine kompakte Kodierung, aus der sich ein oder viele private Schlüssel ableiten lassen.

Diese Ebenen bilden eine Hierarchie. Die Phrase kann die privaten Schlüssel neu erzeugen; die privaten Schlüssel erzeugen Signaturen; Signaturen bewegen Werte. Wer eine Ebene hat, kann alles darunter rekonstruieren. Deshalb ist die Phrase das gefährlichste Geheimnis des Systems, gefährlicher als ein Bankpasswort: weil sie das Konto ist und nicht der Zugang zum Konto.

Die Wallet-App selbst ist Anzeige- und Signierwerkzeug. Sie liest Netzwerkdaten, um Bestände zu zeigen, und baut Transaktionen zur Freigabe. Die App zu löschen zerstört nichts: Der Eintrag lebt im Netzwerk, die Befugnis lebt in der Phrase.

Lokales Schloss gegenüber zugrunde liegender Befugnis

Eine PIN, ein Fingerabdruck oder ein App-Passwort schützen den Zugriff auf einem Gerät. Das ist echter, sinnvoller Schutz gegen jemanden, der dein entsperrtes Handy aufhebt. Gegen eine kopierte Wiederherstellungsphrase schützt es nicht.

Dieses Passwort zu ändern widerruft nichts. Hat jemand im letzten Monat deine Phrase fotografiert, kann er sie in jede kompatible Wallet auf jedem Gerät eingeben und sofort signieren. Es gibt keine Sitzung zu beenden, keine Geräteliste zu prüfen und keinen Support, der sie ungültig machen könnte. Das einzige Mittel ist, eine völlig neue Wallet zu erzeugen und alles zu verschieben, bevor der Inhaber handelt.

Diese Asymmetrie ist die wichtigste betriebliche Tatsache der Eigenverwahrung und gehört klar gesagt: Offenlegung ist dauerhaft, und die Antwort heißt Umzug, nicht Schadensbegrenzung.

Wo Phrasen tatsächlich abfließen

Die meisten Verluste haben nichts mit gebrochener Kryptografie zu tun. Sie entstehen, weil die Phrase dort lag, wo sie nicht hingehört. Wiederkehrende Orte sind ein Foto in einer synchronisierten Galerie, eine Notiz in einer App mit Cloud-Sicherung, ein später geteilter Eintrag im Passwortmanager, ein Screenshot während der Einrichtung, eine Nachricht „nur um eine Kopie zu haben“ und ein Support-Chat mit jemandem, der sich als Wallet-Anbieter ausgibt.

Eine zweite Gruppe besteht darin, die Phrase auf einer Website einzugeben. Eine legitime Wiederherstellung findet in der Wallet-App statt, die du bewusst installiert hast. Eine Webseite, die dich auffordert, mit einer Wiederherstellungsphrase zu „bestätigen“, zu „synchronisieren“, zu „migrieren“ oder etwas „einzufordern“, ist in jedem Fall ein Diebstahlmechanismus, ohne Ausnahme, egal wie überzeugend die Marke wirkt.

Die nicht verhandelbare Grenze

Kein Support-Mitarbeiter, kein Gewinnspiel, keine Airdrop-Einforderung, keine Wallet-Migration, keine Sicherheitsprüfung, kein Steuerwerkzeug und kein Bestätigungsformular braucht deinen privaten Schlüssel oder deine Wiederherstellungsphrase. Es gibt kein Szenario, in dem eine legitime Stelle das verlangt, weil nichts Legitimes die Fähigkeit braucht, in deinem Namen zu signieren.

Das macht die Regel ungewöhnlich leicht anwendbar. Du musst nicht beurteilen, ob eine bestimmte Anfrage plausibel ist, nicht die Qualität einer Website bewerten und nicht einschätzen, ob die Person wirklich vom Support kommt. Die Anfrage selbst ist die Antwort.

• Teile Adressen nur, wenn die Folgen für die Privatsphäre akzeptabel sind.
• Tippe oder füge Wiederherstellungsmaterial nie in eine Website oder einen Chat ein.
• Fotografiere die Phrase nie und speichere sie nie auf einem synchronisierenden Gerät.
• Gib die Phrase nur in eine App ein, die du bewusst installiert und geprüft hast.
• Ist eine Phrase je offengelegt, verschiebe die Mittel in eine neue Wallet, statt zu hoffen.