Bitcoin-Selbstverwahrung noch sicherer: Anleitung für Multisig-Wallet

Der jüngste Vorfall rund um die Coldcard-Wallet zeigt, welches Risiko entstehen kann, wenn man sich vollständig auf ein Gerät beziehungsweise einen Hersteller verlässt.

Wegen eines Fehlers bei der Erzeugung der Seedphrase erreichten betroffene Mk2- und Mk3-Modelle laut Hersteller nur einen effektiven Suchraum von rund 40 Bit. Bei Mk4, Mk5 und Q waren es etwa 72 statt der vorgesehenen 128 Bit.

Mit anderen Worten: Die mangelnde Zufälligkeit ermöglichte es Angreifern, selbstverwahrte Wallets durch Ausprobieren leerzuräumen. Circa 1.600 BTC im Wert von über 100 Millionen US-Dollar konnten so geklaut werden.

Das Problem, das letztlich ein herstellerspezifisches war, löste große Schockwellen in der Bitcoin-Community aus.

Besitzer der betroffenen Hardware-Wallets, die eine sichere Passphrase (25. Wort) genutzt, selbst für zusätzliche Entropie gesorgt und/oder auf ein diversifiziertes Multisig-Setup gesetzt hatten, kamen derweil unversehrt davon.

Multisig ist hierbei eine besonders attraktive – wenn auch komplizierte – Lösung. Denn bei einer 2-von-3-Multisig mit Wallets verschiedener Hersteller reicht ein kompromittierter Seed eben nicht aus, um eine Transaktion zu signieren und somit die Wallet zu leeren.

Bei einer gewöhnlichen Bitcoin-Wallet genügt eine Signatur zur Bestätigung einer Transaktion. Die Kontrolle der Coins hängt damit von einem einzigen Seed ab. Gehen die Hardware-Wallet und das Backup (12 oder 24 Seed-Wörter) verloren, kann nicht mehr auf die Bitcoin zugegriffen werden. Und gelangt der Seed in fremde Hände, kann dieser die Wallet leeren. 

Bei Multisig läuft das anders. Multisig steht für „Multiple Signatures“. Die Ausgabebedingung verlangt mehrere Signaturen aus einer vorher festgelegten Gruppe von Schlüsseln. 

Bei einer 2-von-3-Multisig gibt es drei sogenannte Cosigner (A, B und C). Jede Kombination aus zwei Cosignern kann eine Transaktion freigeben – also A und B, A und C oder B und C. Multisig ist nicht auf 2 von 3 beschränkt. 

Bei einer m-von-n-Multisig steht n für die Gesamtzahl der Cosigner und m für die Zahl der benötigten Signaturen. Innerhalb der technischen Grenzen können diese Werte passend zum Einsatzzweck gewählt werden. 

• Bei 2 von 2 müssen beide Cosigner zustimmen, allerdings gibt es keine Redundanz. 
• Bei 2 von 3 darf ein Schlüssel ausfallen. Ein 3-von-5-Setup verkraftet den Verlust von zwei Schlüsseln, benötigt für jede Ausgabe aber drei Signaturen. 
• Bei 1 von 3 genügt dagegen jeder einzelne Schlüssel. Das schafft Redundanz, aber keinen zusätzlichen Diebstahlschutz. Wichtig: Mehr Cosigner bedeuten nicht automatisch mehr Sicherheit. 

Mit jedem weiteren Schlüssel steigen Aufwand, Transaktionsgröße, Gebühren und die Gefahr eines Fehlers beim Backup. Für private Cold-Storage-Bestände gilt 2 von 3 deshalb häufig als guter Kompromiss zwischen Sicherheit, Redundanz und Bedienbarkeit. 

Die Bitcoin liegen dabei nicht auf drei Geräten. Die Geräte verwalten unabhängige Schlüssel. 

Sparrow oder ein anderes Multisig-fähiges Wallet-Interface dient als Coordinator, setzt die Wallet zusammen, erzeugt Adressen und erstellt „Partially Signed Bitcoin Transactions (PSBTs)“. 

Bei einem reinen Hardware-Wallet-Setup besitzt Sparrow selbst keinen privaten Schlüssel. Die technischen Grundlagen zu xpubs und unterschiedlichen m-von-n-Modellen werden in dem Blocktrainer-Artikel zur Multisig und Mnemonic Split ausführlicher erklärt.

Multisig kann sinnvoll sein, wenn ein einzelner Seed nicht ausreichen soll, um eine Transaktion zu signieren. 

Typische Anwendungsfälle sind privat verwaltete, größere Bitcoin-Bestände. Hier könnten die jeweiligen Seeds an verschiedenen Orten gelagert werden, sodass selbst bei einem Einbruch in die Wohnung oder bei Knacken des Bankschließfachs kein direkter Zugriff auf die Wallet erfolgen kann.

Auch bei gemeinsam verwalteten Vermögen – etwa in einem Unternehmen – kann via Multisig sichergestellt werden, dass eine Person keinen alleinigen Zugriff auf die Gelder hat.

Für kleine Beträge oder regelmäßige Zahlungen ist Singlesig mit nur einem Schlüssel meistens einfacher. Wer noch unsicher im Umgang mit Hardware-Wallets, Backups und PSBTs ist, sollte zunächst bei einem gut gesicherten Singlesig-Setup bleiben. 

Denn bei einer guten Hardware-Wallet verfügt die Seed-Generierung über ausreichend Entropie, um Angriffe wie bei Coldcard zu verhindern. Hierbei handelte es sich eben um einen schwerwiegenden Programmierfehler. Eine gute Passphrase kann die Sicherheit im Zweifel noch weiter erhöhen.

Blocktrainer.de kann die BitBox02 oder die Produkte von Trezor uneingeschränkt empfehlen.

Mehr Geräte, Backups, Formate und Lagerorte schaffen neue Fehlerquellen und vor allem eine deutlich höhere Komplexität.

Ganz wichtig ist also: Multisig bringt zwar zusätzliche Sicherheit. Doch davon lässt sich nur profitieren, wenn die höhere Komplexität nicht zu Fehlern führt, die einen Zugangsverlust zu den Bitcoin zur Folge haben.

Ein Backup der 3 Seeds allein reicht zudem nicht aus. Zusätzlich wird die Wallet-Konfiguration benötigt. 

2 private Schlüssel genügen zwar zum Signieren, aber nicht zwangsläufig zum Auffinden der ursprünglichen Adressen. Dafür braucht es auch die öffentlichen Schlüssel aller Cosigner, den Skripttyp, die Ableitungspfade und die 2-von-3-Regel. Sparrow fasst diese Informationen in einem Output Descriptor zusammen.

Der Descriptor enthält keine privaten Schlüssel, ist aber trotzdem sensibel. Wer ihn in die Hand bekommt, kann sämtliche Adressen des Accounts ableiten und die Transaktionen sowie den Bestand nachvollziehen. 

Aus Privatsphäresicht ist der Multisig-Descriptor ungefähr mit dem Account-xpub einer Singlesig-Wallet vergleichbar. Ausgeben kann man damit aber nichts.

Multisig-Transaktionen sind zudem größer als vergleichbare Singlesig-Transaktionen und verursachen entsprechend höhere Netzwerkgebühren.

Bei dieser Anleitung geht es um eine 2-von-3-Multisig mit Native SegWit (P2WSH) und 3 bereits eingerichteten Hardware-Wallets (BitBox02, Blockstream Jade, Foundation Passport). Alle Seeds müssen unabhängig erzeugt sein.

Benötigt werden:

• 3 mit Sparrow und P2WSH-Multisig kompatible Hardware-Wallets. Man kann auch Software-Wallets für eine Multisig-Wallet verwenden, dadurch sinkt aber das Sicherheitsniveau wieder.
• 3 geprüfte Seed-Backups der Wallets.
• Die aktuelle Version von Sparrow Wallet.

Bei einer Transaktion mit einer Multisig-Wallet (P2WSH) werden die Multisig-Struktur und auch die konkreten Public Keys der Outputs zwar sichtbar. Doch die vollständigen xpubs oder die verwendeten Hardware-Wallets werden dadurch allerdings nicht automatisch offengelegt. 

Das kann relevant sein, wenn bereits kompromittierte Schlüssel existieren (wie zum Beispiel, wenn einer der Cosigner eine Sicherheitslücke wie die Coldcard hat). Bei einem 2-von-3-Setup wären insbesondere zwei betroffene Signer kritisch. 

Eine kleine Testtransaktion bleibt dennoch sinnvoll, um Fehler beim Setup oder bei der Wiederherstellung zu erkennen. Entscheidender ist, verschiedene Hardware-Wallet-Hersteller zu verwenden, um das Risiko zu verringern, dass zwei Cosigner zur gleichen Zeit kompromittiert werden.

Bei einer Multisig-Wallet erfüllen Seeds und Descriptor unterschiedliche Aufgaben:

• Aus den Seeds werden die privaten Schlüssel abgeleitet, mit denen die Geräte signieren.
• Der Output Descriptor beschreibt, welche öffentlichen Schlüssel nach welchen Regeln die Wallet bilden.

Für die Wiederherstellung benötigt man 2 Seeds oder 2 funktionierende Signer sowie den vollständigen Descriptor. Dieser sollte mehrfach an unabhängigen Orten liegen, beispielsweise zusammen mit jedem Seed-Backup. Wer einen Seed und den Descriptor findet, kann nicht allein signieren, erhält aber möglicherweise Einblick in den Bestand.

3 Seeds allein sind kein sauber dokumentierter Wiederherstellungsplan. Die xpubs lassen sich daraus nur erneut ableiten, wenn Policy, Skripttyp und Ableitungspfade bekannt sind. Diese Informationen bekommt man nicht allein aus den Seed-Wörtern. Mit nur 2 Seeds fehlt ohne Descriptor der xpub des letzten Cosigners.

Zu einem vollständigen Backup gehören daher:

• Die 3 getrennten Seed-Backups.
• Mehrere Kopien des vollständigen Output Descriptors (am besten bei jedem Seed).
• Die Master-Fingerprints und der verwendete Account.

Danach sollte man den Descriptor auf einem zweiten Rechner oder in einem getrennten Sparrow-Profil importieren. Erscheinen dieselben Adressen und der Testbetrag, ist der öffentliche Teil wiederhergestellt. Anschließend eine kleine Transaktion mit 2 Hardware-Wallets vornehmen.

Man sollte periodisch, zum Beispiel einmal im Jahr, die Backups, eine Empfangsadresse und eine kleine Testtransaktion mit wechselnden Signierkombinationen prüfen, um das Setup regelmäßig zu testen.

Eine Multisig-Wallet kann den Verlust, Diebstahl oder technischen Ausfall eines einzelnen Signers abfangen. Der Sicherheitsgewinn entsteht aber erst durch unabhängige Geräte, getrennte Lagerorte, geprüfte Empfangsadressen und einen getesteten Wiederherstellungsplan. 

Im Vergleich zu einer Singlesig-Wallet oder einer Singlesig-Wallet mit Passphrase ist eine Multisig deutlich komplexer. Fehler bei Einrichtung, Backup oder Wiederherstellung können deshalb zum Verlust des Zugriffs auf die Bitcoin führen.

Für die Bitcoin-Verwahrung gibt es kein One-Size-Fits-All. Jeder Ansatz unterscheidet sich hinsichtlich Sicherheit, Komplexität und Verfügbarkeit. Von Vorteil kann es sein, seinen Bestand auf mehrere dieser Lösungen aufzuteilen, sofern man den Überblick behalten kann.