Kommt jetzt der Cyber-Supergau?
Es läuft ein Angriff auf die Souveränität: Passt jetzt besonders auf euch auf.
Die Idee des 20. Jahrhunderts war die Grenze. Der Staat hatte Grenzen, das Haus hatte Türen, die Festung hatte Mauern, das Vermögen hatte einen Tresor und Kriege begannen höflicherweise mit Erklärungen, damit man wusste, woran man war.
Zwischen Innen und Aussen verlief eine Linie.
Diese Idee hat Risse bekommen. In den letzten Tagen gab es eine Häufung von Meldungen über diese gefallene Grenze. Da ist die Massenüberquerung von marokkanischen Flüchtlingen in die spanische Enklave Ceuta in Nordafrika, da ist eine Sprengstoffdrohne in Leipzig. Neuerdings läuft eine Angriffswelle auf Wall Street Hedgefonds via Vishing, also Voice Phishing. Da ist ein beispielloser Bitcoin-Diebstahl aus vermeintlich sicheren Hardware-Wallets und ein gewaltiger Datenabfluss sensibler Informationen aus Liechtenstein.
Wo ist man eigentlich noch sicher?
Nehmen wir den Fall der Hardware-Wallets und von Liechtenstein alleine und wir sehen, dass sich Angriffe auf diejenigen konzentrieren, die sich unabhängig machen wollen vom Staat; die Selbstfürsorge betrieben haben und in vielen Fällen im Grunde alles richtig gemacht haben und nun trotzdem betroffen sind. Das ist das Drama des souveränen Individuums: Selbst wenn man glaubt, sicher zu sein, ist man es nie gänzlich.
Bei Bitcoin ist diese Erkenntnis gerade am schmerzhaftesten. Not your keys, not your coins: Dieses Mantra war nie ganz falsch, denn es war ein Aufruf zur Selbstverwahrung. Inzwischen stellt sich heraus, dass dieser Satz unvollständig war. Seit dem 30. Juli haben Angreifer in mehreren Wellen Bitcoin von Adressen abgeräumt, die auf Coldcard-Geräten erzeugt worden waren. Je nach Zählung sind inzwischen wohl über 130 Millionen Dollar entwendet worden.
ANZEIGE:
Jetzt auf Nummer sicher gehen
Bankguthaben ist nur ein Auszahlungsanspruch. Gold im Schliessfach liegt hinter derselben verschlossenen Tür. Der RealUnit-Aktientoken ist verbrieftes Miteigentum an physischem Gold, Silber, Schweizer Franken und krisenfesten Beteiligungen — überwiegend ausserhalb des Bankensystems, selbstverwahrt in Ihrer Hosentasche (und mit eigenem Recovery-Mechanismus). Eine Entscheidung statt zehn.Was der RealUnit Aktientoken ist
App laden – Kauf und Verwahrung kostenlosMehr erfahren: Hier oder per Kontakt an mich: milosz@pareto.space
(Keine Anlageberatung).
Die Ursache liegt bei den Betreibern der Coldcard Wallets. Noch genauer bei der Erzeugung des Seed-Passworts, das aufgrund einer Änderung in der Software nicht mehr über einen Hardware-Zufallsgenerator lief, sondern über einen Pseudo-Zufallsgenerator. Die Sicherheit von Hardware-Wallets hängt von der Entropie ab, mit der der Seed erstellt wird. Es geht um letztlich die Menge der möglichen Zufallskombinationen, die ausschließen soll, dass jemand einen Seed erraten kann und damit Zugriff auf Bitcoin hat. Bei Coldcard ist durch die Softwareänderung die Entropie so stark gesunken, dass die Passwörter für Findige in wenigen Minuten herausfindbar waren. Diese Lücke stand bei Coldcard fünf Jahre offen. Auch dank den Möglichkeiten, die KI inzwischen bietet, um Fehler und Bugs aufzuspüren, wurden Coldcard Nutzer nun Opfer des Angriffs. Es macht eben einen Unterschied, ob man theoretisch zehn Minuten braucht, um Seed-Passwörter zu erraten oder ob es Lichtjahre dauern soll.
Ich kannte Coldcard bisher nur peripher, habe sie selbst nie genutzt und auch nicht empfohlen. Aber das ist nicht der Punkt. Das war Glück. Ich hätte es tun können, so wie ich es bei Relai getan habe oder bei Trezor. Zwei Anbieter, die zum Beispiel von diesem Hack überhaupt nicht betroffen sind. Doch es stellt sich letztendlich die Frage, wie viel Einblick man selbst in die Software nimmt, die man letztendlich empfiehlt. Und damit stellt sich die Vertrauensfrage nicht mehr nur zwischen Verwahrung von Bitcoin auf Börsen (Fremdverwahrung) oder Verwahrung auf einer Software oder Hardware-Wallet (Eigenverwahrung), sondern der Nutzer muss, wenn er ganz sicher gehen will, die Software überprüfen. Es braucht nicht viel Fantasie, um jetzt zu sehen, dass das Vertrauen in Selbstverwahrung erschüttert ist.
Damit zerbricht für viele eine Erzählung. Die Erzählung nämlich, man könne Vertrauen letztlich abschaffen. Man kann es wohl nicht. Vertrauen ist, mit Luhmann gesprochen, eine Reduktion von Komplexität und Komplexität lässt sich nicht wegoptimieren, nur verschieben. Im Fall von Bitcoin wurde Vertrauen von einer sichtbaren Institution, einer Bank, einer Börse, in eine unsichtbare Softwarezeile verschoben, die ein Entwickler vor ein paar Jahren geändert hat. Das Drama liegt darin, dass es diejenigen trifft, die es vermeintlich in weitesten Teilen richtig gemacht haben und jetzt ihre teilweise über 10, 12, 13 Jahre aufgebauten Ersparnisse verloren haben.
Verschont blieben ausgerechnet jene Nutzer (zB. aus Südkorea, wo die Bitcoin-Bildung besonders hoch ist), die dem Gerät nicht ganz getraut haben, die also die Entropie selbst erhöht haben, eigene Würfel geworfen, eine Passphrase ergänzt, eine zweite unabhängige Quelle einbezogen haben. Wer weniger vertraute, war sicherer. Und vielleicht ist das die Lebensregel, die viele jetzt auf bittere Weise lernen.
Strukturell ähnlich ist der Fall Liechtensteins. Quasi in der Nacht, in der die ersten Bitcoin-Wallets leergelaufen sind, verschafften sich unbekannte Täter Zugriff auf das liechtensteinische Verzeichnis wirtschaftlich berechtigter Personen von Stiftungen und Trusts und kopierten die Daten von rund 31.000 Begünstigten mitsamt Namen, Geburtsdaten, Domizilen. Die Regierung berief einen Krisenstab ein. In den Medien spricht man vom Raub der Kronjuwelen des Fürstentums. Die Ironie an der Sache ist ähnlich wie beim Coldcard-Hack. Das Register wurde eingerichtet, weil es eine EU-Geldwäscherichtlinie verlangte. Es war ein Transparenzinstrument, das im Namen der Sicherheit geschaffen wurde. Man hat Menschen unter Strafandrohung gezwungen, ihre Verhältnisse zentral offenzulegen, gegen das Versprechen, diese Daten seien sicher. Das Versprechen hatte eine Halbwertszeit von fünf Jahren und trifft wie beim Coldcard-Hack den Personenkreis, der besondere Vorsorge getroffen hat, um die Früchte seiner Arbeit Mittels Stiftungsmodellen in Liechtenstein abzusichern. Das Zentralregister erwies sich als Honigtopf und jeder Honigtopf wird irgendwann geöffnet, wenn der Anreiz dafür gross genug ist.
Im Fall von Liechtenstein wurde kein Geld entwendet, sondern Daten. Doch niemand weiß, was jetzt mit diesen Daten passiert. Klar ist nur, dass die Phishing-Angriffe dadurch vermutlich eher zunehmen und nicht abnehmen.
Was bleibt von der Idee der Souveränität?
Die Frage nach der eigenen Souveränität ist damit nicht obsolet, ganz im Gegenteil. Sie wird nur gänzlich neu gestellt werden müssen, in allen Bereichen. Souveränität kann nie bedeuten, unverwundbar zu sein. Sie muss bedeuten, präzise Kenntnis der eigenen Verwundbarkeit zu erwerben oder zu besitzen.
Souveränität bedeutet, sich nicht auf eine Mauer oder Grenze zu verlassen, sondern die Landkarte der Löcher zu studieren. Souveränität ist ein Prozess, eine Geisteshaltung, eine Lebensphilosophie. Kein Produkt. Man kann sie nicht als Gerät, nicht als Stiftung, nicht als Zweitpass, nicht einmal als Bitcoin kaufen. Diese Haltung muss man selbst pflegen und unterhalten wie ein Haus. Ständige Aufmerksamkeit, eigene Sicherungsmittel, Demut und die Bereitschaft, das eigene Gestaltungssetup regelmäßig zu überprüfen und auch für falsch zu halten.
Ernst Jünger hat es im „Waldgang“ im Grunde angedeutet. Wer sich der Übermacht entziehen will, wählt nicht eine Festung, sondern den Wald. Keinen Ort, sondern eine Bewegung. Wer Souveränität als bloßen Kaufakt missversteht, hat sie schon delegiert und damit verloren.
Die Angriffe sind nun da, auf Bitcoin, auf Hedgefonds, auf zentrale Register, ja selbst auf die Möglichkeit, sich der Steuer durch perpetual traveling zu entziehen, wie die jüngste Ausarbeitung eines Steueranwalts aus der Schweiz behauptet. Dies sind zweifellos dunkle Tage. Jeder, der sich souverän aufstellt, ist jetzt zu akuter Vorsicht gemahnt. Und es zeigt sich in all diesen Fällen, dass auch in einem vermeintlich sicheren Setup Diversifikation letztlich alles ist.
Passt jetzt besonders auf euch auf.
INNER CIRCLE & Freischwebende Akademie
Wie wird man ein souveränes Individuum? Darum geht es u.a. beim nächsten Inner Circle-Gipfeltreffen vom 28.-30.08 in Braunwald (Early bird Tickets sind ausverkauft, reguläre Restplätze sind noch erhältlich).
Praktische Souveränitäts-Werkzeuge erlernen und sich vernetzen: Wer gemeinsam mit Gleichgesinnten am Neuen bauen will, kann dies jetzt auch in der Freischwebenden Akademie tun, meiner Lebensschule für Aufgewachte.
Herzlichen Dank, dass Sie meine Arbeit unterstützen!
Wenn Sie aus diesem Beitrag etwas für sich mitgenommen haben, können Sie mich gerne per Abonnement, Paypal, Überweisung oder Bitcoin unterstützen. Sie erreichen mich unter milosz@pareto.space