Wallet-Stufen, Transaktionsrichtlinien und Signaturabläufe

Starke Schlüssel sind nutzlos, wenn eine einzelne Person ihnen befehlen kann, alles zu signieren. Die Kontrollen rund um das Signieren legen fest, wo Schlüssel aufbewahrt werden, welche Transaktionen zulässig sind, wer sie genehmigen muss und was die Signierenden tatsächlich sehen. Genau hier werden die meisten institutionellen Verluste verhindert oder erst möglich gemacht. Diese Lektion verfolgt eine Transaktion vom Antrag bis zur Übertragung ins Netzwerk.

Hot-, Warm- und Cold-Wallets

Verwahrer und Börsen teilen Vermögenswerte in Stufen auf. Jede Stufe tauscht Geschwindigkeit gegen Sicherheit.

Das Hot-Wallet sollte nur die Mittel enthalten, die für den Betrieb benötigt werden. Nehmen wir als Beispiel eine Börse mit Kundenvermögen im Wert von 2 Milliarden USD und durchschnittlichen täglichen Nettoauszahlungen von 30 Millionen USD. Sie könnte 40–60 Millionen USD (2–3 %) im Hot-Wallet halten – genug für einen normalen Tag plus einen Puffer. Überschüssige Einzahlungen werden regelmäßig in Warm- oder Cold-Storage verschoben, und das Hot-Wallet wird durch einen kontrollierten Prozess aufgestockt. Diese Zahlen sind ein Beispiel, kein Standard. Die angemessene Höhe hängt von den Auszahlungsmustern, den Service-Level-Verpflichtungen und den Versicherungsbedingungen ab.

„Cold“ bedeutet nicht, dass man vor jedem Angriff sicher ist. Cold-Schlüssel sind offline, aber Menschen müssen Transaktionen weiterhin genehmigen, und Genehmigungsprozesse können manipuliert werden. Der Diebstahl bei Bybit im Februar 2025 begann mit einer routinemäßigen Übertragung aus einem Cold-Wallet (siehe die Lektion Bedrohungen der Betriebssicherheit und Kontrollen).

Richtlinien-Engines

Eine Richtlinien-Engine prüft jeden Transaktionsantrag anhand eines Regelwerks, bevor ein Schlüssel oder Schlüsselanteil signiert. Typische Regelarten:

Zwei Designaspekte sind wichtig. Erstens muss die Richtlinie dort durchgesetzt werden, wo das Signieren erfolgt: in der sicheren Umgebung des HSM, durch die MPC-Mitunterzeichnenden oder im Smart-Contract-Wallet. Wird sie nur in einer Webanwendung geprüft, kann jemand mit Serverzugriff sie umgehen. Zweitens sind Änderungen an der Richtlinie selbst Hochrisikotransaktionen. Das Hinzufügen einer genehmigenden Person, das Anheben eines Limits oder die Bearbeitung der Freigabeliste sollte ein eigenes Quorum und eine Verzögerung erfordern.

Eine Richtlinien-Engine erzeugt außerdem Nachweise. Jeder Antrag, jede Regelauswertung, jede Genehmigung und jede Ablehnung sollte in einem unveränderlichen Datensatz protokolliert werden, einschließlich Benutzer, Gerät und Zeitpunkt. Auditoren prüfen anhand dieser Protokolle die Kontrollen, und Einsatzteams nutzen sie, um den Vorfallhergang zu rekonstruieren. Auch abgelehnte Anträge verdienen Beachtung: Eine Reihe blockierter Versuche, an neue Adressen zu überweisen, kann ein erstes Anzeichen für einen Angriff sein.

Quoren und Funktionstrennung

Ein Quorum ist die Anzahl erforderlicher Genehmigungen und wird als m-aus-n angegeben (zum Beispiel 3-aus-5). Das Quorum funktioniert nur, wenn die genehmigenden Personen tatsächlich unabhängig sind.

Die Funktionstrennung trennt Rollen, die andernfalls zusammenwirken und Betrug ermöglichen könnten:

• Der Initiator erstellt den Antrag, kann ihn aber nicht genehmigen.
• Genehmigende prüfen und genehmigen, können aber das Ziel nicht ändern.
• Signierende oder Schlüsselverwahrende bedienen die Schlüssel und können oft keine Transaktionen starten.
• Richtlinienadministratoren verwalten Regeln und Benutzer, können aber keine Gelder bewegen.

Zu den häufigen Fehlern gehört der Quorum-Zusammenbruch: Bei einem 3-aus-5-Quorum, bei dem drei genehmigende Personen zum selben Team gehören, kann eine Führungskraft oder eine einzige Phishing-Kampagne das Quorum erreichen. Weitere Risiken sind ausgeschiedene Mitarbeitende, deren Zugriff nach einem Rollenwechsel bestehen bleibt, und gemeinsam genutzte Zugangsdaten. Bewährte Verfahren verteilen die genehmigenden Personen auf Abteilungen und Standorte, überprüfen Zugriffsrechte mindestens vierteljährlich, entziehen den Zugriff noch am Tag des Ausscheidens und verlangen für den physischen Zugang zu Cold-Storage stets eine Zwei-Personen-Kontrolle.

Freigabelisten, Häufigkeitslimits und Zeitsperren

Freigabelisten (auch Whitelists genannt) beschränken Auszahlungen auf vorab genehmigte Adressen. Sie verhindern die meisten Angriffe durch Adressenaustausch nur dann, wenn das Hinzufügen einer Adresse erschwert wird. Ein solides Verfahren erfordert:

• einen durch Nachweise belegten Antrag, aus dem hervorgeht, wem die Adresse gehört
• eine Bestätigung über einen separaten Kommunikationskanal, über eine bereits hinterlegte Telefonnummer und nicht über eine Nummer aus dem Antrag
• eine kleine Testüberweisung, die die Gegenpartei bestätigt
• eine Wartefrist, oft 24 bis 48 Stunden, bevor die Adresse verwendet werden kann

Häufigkeitslimits begrenzen den Wert pro Transaktion, pro Stunde und pro Tag, idealerweise addiert in einer Referenzwährung über alle Vermögenswerte hinweg, damit ein Angreifer einen Diebstahl nicht in viele kleine Überweisungen aufteilen kann.

Zeitsperren fügen eine Verzögerung zwischen Genehmigung und Übertragung ins Netzwerk oder zwischen Übertragung ins Netzwerk und Verfügbarkeit der Mittel hinzu. Dieses Zeitfenster ermöglicht es Überwachungsteams, eine fehlerhafte Transaktion zu erkennen und abzubrechen. Sie können off-chain als Warteschlange ausstehender Transaktionen auf der Verwahrungsplattform oder on-chain umgesetzt werden. Bitcoin unterstützt on-chain-Zeitsperren über CHECKLOCKTIMEVERIFY (BIP 65) und CHECKSEQUENCEVERIFY (BIP 112), und „Vault“-Designs nutzen sie, um einem Wiederherstellungsschlüssel Zeit zu geben, Gelder zurückzuholen. Auf EVM-Chains erfüllen Timelock-Contracts denselben Zweck. Der Nachteil ist die geringere Geschwindigkeit; daher müssen Kundenvereinbarungen Auszahlungszeiten festlegen, die diese Verzögerungen berücksichtigen.

Transaktionssimulation und verständliches Signieren

Eine signierende Person sollte genau wissen, was eine Signatur bewirkt. Zwei Techniken machen das möglich.

Bei der Transaktionssimulation wird die Transaktion vor der Signierung anhand des aktuellen Zustands der Chain ausgeführt. Sie zeigt an, was geschehen wird: welche Kontostände sich ändern, welche Token-Genehmigungen erteilt werden, welche Contracts aufgerufen werden und ob der Aufruf delegatecall verwendet oder die Eigentümer oder den Code des Wallets ändert. Eine Simulation, die „–5.000.000 USDC aus dem Wallet, +5.000.000 USDC an 0xAb…9F, keine weiteren Änderungen“ anzeigt, liefert einer genehmigenden Person konkrete Prüfpunkte.

Verständliches Signieren bedeutet, dass das Signiergerät eine für Menschen lesbare Bedeutung (Empfänger, Betrag, Funktionsname und Parameter) anzeigt, statt eines Hashes oder roher Hex-Daten. Das Gegenteil ist Blind Signing: die Genehmigung von Daten, die die signierende Person nicht lesen kann. Standards wie EIP-712 (typisierte strukturierte Daten) helfen Wallets dabei, anzuzeigen, was eine Nachricht bedeutet. Kann ein Gerät eine Transaktion nicht dekodieren, ist es sicherer, sie standardmäßig abzulehnen, statt sie dennoch zu signieren.

Verständliches Signieren funktioniert nur, wenn die Anzeige selbst vertrauenswürdig ist. Ist der Computer, der die Transaktion vorbereitet, kompromittiert, kann er eine Sache anzeigen und eine andere senden. Bewährte Verfahren sehen eine Überprüfung über einen unabhängigen Kanal vor. Zum Beispiel kann man den erwarteten Transaktions-Hash auf einem separaten, sauberen Rechner berechnen und ihn vor der Genehmigung mit dem auf dem Hardwaregerät angezeigten Hash vergleichen.

Durchgearbeitetes Beispiel: eine Auszahlung von 5 Millionen USD

Ein Unternehmenskunde bittet darum, 5 Millionen USD in USDC an seine eigene Adresse auszuzahlen.

1. Antrag. Eine Analystin aus Treasury Operations gibt den Antrag ein. Die Plattform protokolliert, wer ihn gestellt hat und wann.
2. Richtlinienprüfung. Die Zieladresse steht seit 60 Tagen auf der Freigabeliste. Der Betrag liegt über der Schwelle von 1 Million USD, daher gilt der Cold-Pfad. Beim täglichen Häufigkeitslimit ist noch Spielraum. Der Transaktionstyp ist eine einfache Token-Übertragung.
3. Genehmigungen. Das Quorum beträgt 3-aus-5: eine genehmigende Person aus dem operativen Bereich, eine aus dem Risikobereich und eine leitende Führungskraft. Der Initiator kann nicht zu ihnen gehören.
4. Simulation und verständliches Signieren. Die Simulation zeigt genau 5.000.000 USDC, die an die freigegebene Adresse gesendet werden, und keine weiteren Aufrufe. Die Signierenden bestätigen dieselben Angaben auf ihren Geräten und überprüfen den Hash auf einem unabhängigen Rechner.
5. Zeitsperre und Übertragung ins Netzwerk. Eine Verzögerung von vier Stunden ermöglicht einen Abbruch. Anschließend wird die Transaktion signiert und ins Netzwerk übertragen. Beim nachfolgenden Abgleich wird die Änderung des On-Chain-Kontostands mit dem internen Ledger verglichen.

Jeder Schritt verhindert eine andere Art von Fehler. Die Freigabeliste verhindert, dass eine falsche oder ausgetauschte Adresse verwendet wird. Das Quorum verhindert, dass eine einzelne illoyale Person allein handeln kann. Die Simulation und die unabhängige Hash-Prüfung erkennen eine kompromittierte Benutzeroberfläche. Die Zeitsperre gibt der Überwachung eine letzte Gelegenheit zum Eingreifen.

Prüfungsschwerpunkt: Merkmale von Hot-, Warm- und Cold-Wallets und warum das Hot-Wallet nur die für den Betrieb erforderlichen Mittel enthalten sollte; was eine Richtlinien-Engine prüft und warum sie dort durchgesetzt werden muss, wo das Signieren erfolgt; Quorum-Design und Funktionstrennung (Initiator, genehmigende Person, signierende Person, Richtlinienadministrator) sowie das Risiko eines Quorum-Zusammenbruchs; ein sicheres Verfahren zur Aufnahme in die Freigabeliste mit Bestätigung über einen separaten Kommunikationskanal und Wartefrist; Häufigkeitslimits und Zeitsperren (off-chain-Warteschlangen oder on-chain-Sperren); Transaktionssimulation, verständliches Signieren im Vergleich zu Blind Signing und unabhängige Überprüfung dessen, was signiert wird.