In letzter Instanz stimmt es. Aber es ist eben etwas anderes, ob du es überprüfen kannst, wenn du willst. Das der Aufwand dazu sehr groß ist, ist natürlich wieder etwas anderes. Aber das Bitcoin-Protokoll ist so angelegt, dass es möglichst einfach bleibt: Man braucht beispielsweise keine super teure Hardware, um eine Fullnode zu betreiben. Das ist bei Altcoins oft nicht der Fall. Auch ist die Bitcoin-Core-Software ist relativ schlank gehalten und unterstützt eben nicht tausend unnötige Dinge with manche Altcoins.
Gute Frage, in Social Media gibt es unendlich viel Scam, sobald man etwas mit dem Hashtag #Bitcoin postet. Irgendwie muss man herausfinden, ob eine Software vertrauenswürdig ist. Wenn man etwas noch nicht kennt, muss man schauen, was andere dazu sagen, wie lange es das Projekt schon gibt, ob es Open Source ist, usw.
Also dafür gibt es Lösungen. Die SHA-Prüfsumme stellt sicher, dass die Datei, die die Entwickler hochgeladen haben auch wirklich jene ist, die du heruntergeladen hast. Du könntest beispielsweise über eine Attacke auf einen kompromittierten Download-Server weitergeleitet werden, der dir eine falsche Version unterjubelt. Wenn du bei deinem Download nun die Prüfsumme checkst, kannst du das erkennen. Natürlich kann ein Angreifer auch die Datei + die Prüfsumme auf der Website verändern. Aber die Wahrscheinlichkeit, dass das auffällt ist höher. Idealerweise sollte auch die Prüfsumme nicht auf dem selben Server zu finden sein, wie der Download.
Hier eine (erstbeste) Erklärung, wie man das macht:
Um noch einen zusätzlichen Schutz zu haben, solltest du bei Bitcoin-Software auch den GPG-Key überprüfen. Dadurch wird nicht nur sichergestellt, dass die Datei korrekt heruntergeladen wurde, sondern auch wer bestätigt, dass die Datei die richtige ist.
Bei Bitcoin Core nutzen alle Entwickler GPG und auch jedes Binary wird von mehreren Entwicklern signiert. Aber auch hier gibt es wieder das Problem, woher man weiß, dass das GPG-Zeritifkat wirklich von dem Entwickler kommt. Alles nicht so einfach.
Aber auf jeden Fall solltest du OpenPGP installieren (und natürlich auch dort die Prüfsummen kontrollieren) und alle Zertifikate der Entwickler in deinen Keychain importieren, die du prüfen willst. Wenn du besonders vorsichtig sein willst, kontrollierst du noch die Fingerabdrücke der einzelnen Entwickler (beispielsweise sind die meisten in den öffentlichen Profilen auf Twitter angegeben) oder vergleichst diese mit Freunden.
Auf der BitcoinCore Download-Seite gibt es auch ein Anleitung, wie man die Binaries korrekt prüft:
Nein, das „wollen“ stimmt nicht ganz. Bitcoin funktioniert auch ohne Vertrauen. Aber mit Vertrauen funktioniert Bitcoin genauso – und man spart sich viel Zeit. Jetzt kannst du entscheiden, wieviel du vertrauen willst und wieviel Zeit du investieren willst um zu überprüfen.
Eigentlich solltest du jetzt auch meinen Text überprüfen, ob das überhaupt stimmt, was ich schreibe und ob die Links zu vertrauenswürdigen Seiten führen. Oder du wartest einige Zeit, ob vertrauenswürdige (sic!) Benutzer hier im Forum meinem Beitrag ein 
geben…
