Lösung des Bitcoin Self-Custody Trilemmas

Alle fragen sich nun, wie wir verhindern können, dass sich das wiederholt. Um das zu beantworten, muss man verstehen, warum jede der derzeitigen Optionen untauglich ist.

Bitcoin’s self-custody trilemma

Heute musst du dich für zwei davon entscheiden. Es gibt auf dem Markt keine einzige Self-Custody-Lösung, die alle drei Aspekte vereint. Gehen wir die Optionen einmal durch.

Singlesig (Hot Wallet oder einzelne Hardware-Wallet) kommt ohne Vertrauen in Dritte aus und ist einfach zu bedienen: ein Gerät, eine Berührung, und die Transaktion wird ausgeführt. Doch es birgt auch ein massives Risiko durch einen „Single Point of Failure“: Ein einziger Softwarefehler, ein Diebstahl oder ein fehlerhaftes Backup können zum Totalverlust führen. Fast alle Coldcard-Opfer der letzten Woche waren von diesem Szenario betroffen – und haben dadurch ihre gesamten Ersparnisse verloren.

Multivendor-Multisig ist sicher und kommt ohne Vertrauen in Dritte aus. Es ist aber auch eine Zumutung: Man hantiert mit mehreren Geräten, mehreren Seed-Backups, mehreren sicheren Aufbewahrungsorten und diversen PINs, die man nicht vergessen darf, und muss sich alljährlich auf den Weg machen, um zu prüfen, ob nichts verfallen ist. Empfiehlt man das normalen Leuten, verliert man am Ende mehr Geld durch Bedienfehler und den Verlust des Zugangs als durch Hackerangriffe. Für die meisten Menschen ist das keine realistische Option.

Hier wird es bei der gemeinschaftlichen Verwahrung (Casa, Bitkey) erst richtig interessant. Casa hat Multisig so gestaltet, dass es auch für Normalnutzer praktikabel ist. Bitkey hat die User Experience (UX) noch weiter optimiert: keine Seed-Phrase, Ausgaben direkt über das Smartphone bis zu einem Limit, das vorab durch die Hardware autorisiert wurde. Die Hardware selbst muss man nur für größere Abhebungen zur Hand nehmen. Es ist eine Cold-Storage-Lösung, die sich wie eine Hot Wallet anfühlt.

Das Problem liegt im Vertrauensmodell. Der Anbieter verwahrt einen Mitzeichnungsschlüssel (Cosigning-Key) und kontrolliert den Update-Kanal für die Smartphone-App, in der einer Ihrer Schlüssel hinterlegt ist. Ein einziges bösartiges App-Update genügt, und sie verfügen über zwei der drei Schlüssel. Ich behaupte nicht, dass dies besonders wahrscheinlich ist – es handelt sich zweifellos um seriöse Unternehmen und vertrauenswürdige Akteure. Aber stellen Sie sich ein Szenario nach dem Vorbild des „Executive Order 6102“ vor, in dem die private Verwahrung von Bitcoin verboten wird und Unternehmen gesetzlich dazu gezwungen werden, bei der Beschlagnahmung zu helfen. Ihre Mitarbeiter werden nicht ins Gefängnis gehen, um meine Bestände zu schützen, und ich sollte das auch gar nicht von ihnen erwarten.

Wenn Ihnen dieses Bedrohungsszenario absurd erscheint, sind Casa und Bitkey wahrscheinlich die besten derzeit verfügbaren Optionen. Für meine Anforderungen passen sie jedoch nicht. Meine Paranoia hat meine Bestände bereits einmal gerettet – und auf sie werde ich auch weiterhin hören.

Drei Seiten des Dreiecks – drei Kompromisse, die jede aktuelle Lösung eingehen muss. Das ist das Trilemma der Selbstverwahrung (Self-Custody).


Wir stellen vor: Anzen

Wie viele andere habe ich seit dem Coldcard-Vorfall kaum geschlafen. Ich habe intensiv darüber nachgedacht, wie sich so etwas in Zukunft verhindern lässt. Ich glaube, ich habe ein neuartiges Wallet-Konzept entwickelt, das alle drei Aspekte dieses Trilemmas löst.

Anzen ist auf extreme Benutzerfreundlichkeit ausgelegt und so gestaltet, dass Fehler bei der Handhabung kaum möglich sind; es ist praktisch ausgeschlossen, sein Geld zu verlieren. Das System bietet eine Sicherheit, die der einer „2-von-3“-Multisig-Lösung mit verschiedenen Anbietern (Multivendor) entspricht, lässt sich aber so einfach bedienen wie ein Hot Wallet – und das bei vollständiger Vertrauensfreiheit (Trustlessness). Es sind keine Drittanbieter erforderlich.

Es handelt sich um eine Tresor-ähnliche Konstruktion, die bereits heute auf Bitcoin funktioniert. Kein Mitunterzeichner von Drittanbietern. Keine Server. Kein Soft Fork. Keine neuen Opcodes. Die Durchsetzung erfolgt vertrauenslos (trustless) durch die Konsensregeln von Bitcoin.

Anzen verwendet nur zwei Schlüssel: ein Smartphone und eine Hardware-Wallet. Der Tresor dient als Cold Storage; das Smartphone fungiert sowohl als Hot Wallet für den täglichen Gebrauch als auch als Mitunterzeichner für den Tresor. Damit Gelder verloren gehen, müssten beide Schlüssel gleichzeitig kompromittiert werden.

Das Skript des Anzen-Tresors ist täuschend einfach:

Phone + Hardware wallet     immediately
OR
Phone alone                 after 14 months
OR
Hardware wallet alone       after 15 months

Anzen-Tresore (Vaults) setzen den ursprünglich für Bitcoin vorgesehenen Anwendungsfall von „programmierbarem Geld“ in die Praxis um. Dies geschieht durch die Kombination des oben genannten Skripts mit variierenden Ketten vorab signierter, zeitverzögerter Transaktionen. Sie unterstützen:

• Monatliche Zuteilungen. Jeden Monat steht ein fester, vorab festgelegter Betrag zur Verfügung, den Ihr Telefon optional und völlig selbstständig aus dem „Cold Storage“ in seine integrierte „Hot Wallet“ übertragen kann.

• Notfallzugriff. Sie können jederzeit über Ihr Telefon eine größere Auszahlung eines vorab festgelegten Betrags veranlassen. Diese wird erst nach einer einwöchigen Wartezeit freigegeben; innerhalb dieses Zeitraums lässt sie sich noch stornieren. Wenn ein Dieb Ihr Telefon stiehlt und diesen Vorgang auslöst, setzt er lediglich einen einwöchigen Countdown in Gang, den Sie selbst wieder stoppen können.

• Widerrufe. Jede vorab autorisierte Freigabe kann sofort und dauerhaft widerrufen werden, indem die Mittel in den Cold Storage zurückgeführt werden.

• 
  

Man kann sich das Prinzip wie bei Giro- und Sparkonto vorstellen: Die Hot Wallet entspricht dem Girokonto, der Tresor dem Sparkonto. Das monatliche Budget gleicht einer automatischen Überweisung vom Spar- auf das Girokonto – stets derselbe Betrag, jeweils zum Ersten des Monats. Der Notfallzugriff entspricht einer größeren Überweisungsanweisung, deren Ausführung eine Woche dauert und die jederzeit vor der endgültigen Abwicklung storniert werden kann.

Einmal jährlich – idealerweise am selben Kalendertag – bestätigen Sie die Tresor-Richtlinie erneut auf Ihrer Hardware-Wallet. Dadurch wird ein automatisierter Signaturvorgang zwischen Ihrem Smartphone und der Hardware-Wallet angestoßen, der den Tresor aktualisiert (die Zeitfristen werden zurückgesetzt) ​​und die Ausgaben für ein ganzes Jahr im Voraus autorisiert.

An den übrigen 364 Tagen des Jahres ist Ihr Smartphone alles, was Sie brauchen. Genau darum geht es: die Benutzererfahrung (UX) einer Hot Wallet, abgesichert durch Cold Storage.
Warum diese Aussagen zutreffen

Ich möchte mich hier präzise ausdrücken, denn ich stelle einige ziemlich weitreichende Behauptungen auf. Ich bin jedoch der Meinung, dass jede einzelne davon korrekt und relativ leicht zu überprüfen ist.

So sicher wie ein 2-von-3-Multisig-Verfahren. Bei einem 2-von-3-System muss ein Angreifer zwei Ihrer Geräte kompromittieren. Die Sicherheit hängt von Ihren beiden schwächsten Geräten ab. Bei Anzen müssen beide der völlig unabhängigen Schlüssel auf völlig unabhängigen Geräten kompromittiert werden. Das Sicherheitsniveau ist identisch, aber der Verwaltungsaufwand ist geringer. Und wie beim 2-von-3-Verfahren bleibt die Sicherheit gewahrt, selbst wenn ein einzelner Schlüssel verloren geht oder offengelegt wird. Anzen bietet sogar eine optionale „Social Recovery“-Funktion, die eine Wiederherstellung ermöglicht, falls beide Geräte verloren gehen. Dies bietet einen noch besseren Schutz vor Verlust als ein 2-von-3-Multisig-System.

Was auch immer mit einem Schlüssel schiefgeht – der andere Schlüssel behält die Oberhand:

Man muss sich schon sehr anstrengen, um bei Anzen sein Geld zu verlieren. Solange man nicht mit verbundenen Augen und ausgestreckten Armen durch die Straße läuft – das entsperrte Smartphone in der einen Hand, die entsperrte Hardware-Wallet in der anderen –, ist man auf der sicheren Seite.

„Trustless“ (ohne Vertrauensbasis): Es gibt keinen dritten Schlüssel, keinen Mitzeichnungs-Server und keinen Update-Kanal eines Unternehmens, der Kontrolle über Ihre Gelder hätte. Selbst die Wiederherstellungsmechanismen erfordern kein Vertrauen in Dritte. Das Cloud-Backup ist im Grunde Ihr Smartphone-Schlüssel, der so verschlüsselt ist, dass nur Ihre Hardware-Wallet ihn entschlüsseln kann. Die „Social Recovery“-Funktion fügt lediglich eine weitere Kopie in Ihrer Cloud hinzu, verschlüsselt mit dem Schlüssel eines vertrauenswürdigen Kontakts: Dieser Kontakt besitzt nichts und weiß nicht einmal, dass er als Wiederherstellungskontakt dient, solange Sie es ihm nicht sagen. Er hilft Ihnen lediglich dabei, Ihr Cloud-Backup zu entschlüsseln, falls Sie beide Geräte verlieren sollten. Selbst dann muss ein wiederhergestellter Schlüssel noch die Zeitsperren (Timelocks) des Tresors abwarten.

Jeder Weg, den das Geld nehmen kann, ist in einem für Sie lesbaren Bitcoin-Skript oder in einer von Ihrer eigenen Hardware signierten Transaktion festgelegt. Niemand kann per Gerichtsbeschluss gezwungen werden, auf Ihre Wallet zuzugreifen, da sonst niemand daran beteiligt ist.

Einfache Bedienung: Bei einer gut konfigurierten Richtlinie benötigt die Hardware-Wallet nur eine einzige Freigabe pro Jahr. Alle anderen Aktionen werden über Ihr Smartphone gesteuert. Dadurch ist der Aufwand bei Anzen geringer als bei einer Single-Sig-Hardware-Wallet, für die man das Gerät bei jeder einzelnen Transaktion zur Hand haben muss. Im Alltag bietet Anzen einen Bedienkomfort, der dem einer mobilen Hot-Wallet nahekommt.

„Aber vorab signierte Transaktionen klingen kompliziert.“

Technisch gesehen: Ja, die jährliche Zeremonie unterteilt den Vault in Teilbereiche und signiert vorab eine sorgfältig strukturierte Abfolge von Transaktionen. Doch davon bekommt der Nutzer im Alltag nichts mit. Es handelt sich hierbei rein um eine technische Herausforderung – und zwar um eine, die sich gut lösen lässt. So wie niemand den Diffie-Hellman-Schlüsselaustausch verstehen muss, um HTTPS zu nutzen, muss auch niemand wissen, wie eine Kette vorab signierter Transaktionen verwaltet wird, um eine Vault-Richtlinie bei Anzen zu genehmigen.

Die eigentliche Lücke liegt bei der Hardware. Keine der heutigen Hardware-Wallets unterstützt dieses Designkonzept angemessen, da sie alle auf einem einzigen Grundprinzip basieren: „Signiere diese Transaktion.“ Was wir jedoch benötigen, ist das Prinzip: „Genehmige diese Richtlinie.“ Ihr Smartphone entwirft den Plan, und das Display der Hardware-Wallet zeigt Ihnen den gesamten Vorgang im Klartext an. Die Anzeige der Vault-Richtlinie auf Ihrer Hardware-Wallet verhält sich zu Anzen wie das grüne Schloss-Symbol im Browser zu HTTPS.

Ein einziger Tastendruck signiert das gesamte Jahr vor. Hier ist genau das, was die obige Aktion ausgeben würde:

Alle Transaktionen, die der Tresor für die nächsten zwölf Monate benötigt, werden mit einem einzigen Tastendruck signiert: die monatlichen Auszahlungen, die zugehörigen Widerrufsbefehle sowie das Notfallpaket. Das Smartphone speichert diese verschlüsselt und wickelt damit den Betrieb des Tresors für den Rest des Jahres ab; die Hardware-Wallet wandert zurück in die Schublade und wird erst am selben Tag im nächsten Jahr wieder benötigt.

Wie geht es nun weiter?

Dies ist nicht nur eine Idee. Ich habe einen funktionierenden Prototyp, der im Mainnet mit echtem Guthaben läuft; sämtliche Vault-Funktionen und Wiederherstellungsmechanismen sind vollständig implementiert. Er ist definitiv noch nicht produktionsreif und befindet sich in einem sehr frühen Stadium, ist aber (gerade so) nutzbar, wenn man ihn mit kleinen Geldbeträgen testen möchte.

Zudem gibt es eine umfangreiche End-to-End-Testsuite, die im Regtest-Modus läuft – ideal, um den vollen Funktionsumfang ohne finanzielles Risiko zu erkunden. Außerdem steht eine interaktive CLI zur Verfügung, die ein Smartphone, eine Hardware-Wallet sowie alle dazwischen ablaufenden Vorgänge vollständig emuliert.

Hier ist mein Mainnet-Vault; du bist herzlich eingeladen, zu versuchen, ihn zu „ruggen“ (d. h. die Gelder abzuziehen):

bc1pvaultn3953ns47dw6rpm6ahfpz449vcnns5rpnr5v2d0u55fekxq39v257

Ich würde mich über eine technische Überprüfung durch Fachleute freuen und bin offen für jegliches Feedback. Das Repository ist derzeit noch etwas rudimentär, aber du kannst gerne deinen KI-Agenten auf github.com/lukechilds/anzen verweisen und ihn bitten, dir das Design zu erläutern.

Auch wenn es sich vorerst nur um eine CLI handelt, arbeite ich an einer Full-Stack-Referenzimplementierung für Anzen, um zu demonstrieren, wie hervorragend die User Experience (UX) gestaltet sein kann. Dabei wird es sich voraussichtlich um eine iPhone-App sowie eine speziell entwickelte, per Sideload installierbare Ledger-Companion-App handeln.

Mein Ziel ist es, sowohl die Referenzimplementierung als auch das offene Anzen-Protokoll weiterzuentwickeln. Die Idee dahinter ist, dass jeder das Protokoll implementieren kann. Wenn ich den Anwendungsfall mit der Referenzimplementierung validieren kann, das Projekt auf Interesse stößt und an Fahrt gewinnt, ist eine Zukunft denkbar, in der man einen Anzen-Vault auf einem Standard-Ledger in Verbindung mit Ledger Live erstellen kann. Oder eine Konfiguration, bei der ein Trezor als Hardware-Wallet für die Signierung dient und BlueWallet als Hot-Wallet fungiert. Oder Bitkey unterstützt einen optionalen „Sovereign Mode“, der den eigenen Co-Signer durch die konsensbasierte Alternative von Anzen ersetzt.

Anzen wird als persönliches Nebenprojekt entwickelt – unabhängig von Umbrel, als Open-Source-Projekt und unter der MIT-Lizenz.

Ehre, wem Ehre gebührt: Danke an Casa, Bitkey und Liana dafür, dass sie die Bitcoin-Selbstverwahrung (Self-Custody) ins moderne Zeitalter geführt haben. Das Design von Anzen ist stark von Tricks inspiriert, die von diesen drei Teams entwickelt wurden.

Abschließende Gedanken

Die Situation um die Coldcard ist überaus bedauerlich, denn die Coldcard-Nutzer haben alles richtig gemacht. Meiner Ansicht nach galt eine Single-Sig-Hardware-Wallet als der empfohlene Industriestandard. Auch wenn sich das Problem als Firmware-Fehler der Coldcard manifestierte, handelt es sich letztlich um ein katastrophales Versagen der technischen Bitcoin-Community. Wir haben den Nutzern einen Bärendienst erwiesen und es versäumt, hochwertige Werkzeuge für die Eigenverwahrung (Self-Custody) bereitzustellen.

Seit dem Vorfall habe ich Stimmen gehört, die behaupten, Eigenverwahrung sei für die meisten Nutzer nicht geeignet. Ich habe gehört, jeder solle auf Multi-Vendor-Multisig umsteigen. Ich habe gehört, es liege in der persönlichen Verantwortung der Nutzer, sich über die sichere Generierung von Entropie zu informieren. Das ist enttäuschend. Wir begehen denselben Fehler erneut.

Die Skripting-Fähigkeiten von Bitcoin sind zwar begrenzt, aber eben nicht so stark eingeschränkt. Tresorartige Konstrukte sind sträflich untererforscht.

Wir verfügen über die Werkzeuge, um bessere Lösungen für die Eigenverwahrung zu entwickeln. Wir müssen sie nur endlich nutzen.