Evtl. mal den Xpub in Sparrow einlesen. Da bekommt man die Adressen fein säuberlich nummeriert dargestellt bzw. bei einem Mouseover die Nummer angezeigt.
3 „Gefällt mir“
Das hat 21Bitcoin übrigens auch eingesehen und wollten im vergangenen Jahr darauf reagieren:
Für @Soapp ist es jetzt natürlich schon zu spät.
Aber 21bitcoin erinnert es vielleicht daran 2FA etwas höher in der Roadmap zu positionieren. 
21bitcoin hat doch 2FA.
Wo das?
Sie schrieben „Eine Zwei-Faktor-Authentifizierung gibt es derzeit per SMS bei der Einrichtung eines Accounts oder bei der Änderung der Telefonnummer.“
Aber in der App kann ich mich ganz regulär mit einem Passwort einloggen (und wie im Falle von @Soapp könnte ich dann einen falschen xpub hinterlegen). Unter Sicherheit lässt sich das Passwort ändern, allerdings kein 2FA mit der Autheticator App einrichten, wie ja scheinbar angestrebt.
Aber ich lasse mich gerne eines besseren belehren. Kannst Du 2FA nutzen zum Login, aber auch bspw. innerhalb der App, um spezifische Aktionen per 2FA zu bestätigen? (So wie es beispielsweise bei Kraken für diverse Aktionen möglich ist?!)
In meiner 21bitcoin software habe ich ein Wallet eingerichtet und dort den zpubkey der Bitbox eingetragen. Damit sucht sich 21bitcoin jedesmal eine neue Adresse. Also in der 21bitcoin App steht “bitbox-wallet-zpubkey” als Walletname. Der Angreifer hat dann beim Verschicken der Sats automatisiert einfach eine neue Wallet “bitbox-wallet-zpubkey -34” angelegt, die zu seinen Adressen passt :(
Du hast Recht. 2FA stand zwar da, aber am Ende musste ich keinen 2FA Code eintragen. @soapp s Erfahrung hatte mich so alarmiert, dass ich erstmal panisch meine Sats verschoben habe und 2FA nur gelesen und angeklickt hatte, ohne den dazu fehlenden Prozess zu reflektieren 
Leider muss ich Nachfragen für was das verwendet wird, so etwas kenne ich nicht.
Bei 21Bitcoin nutzt du eine Custodial Wallet, auf der du deine DCA-Beträge sammeln kannst. Sobald eine von dir festgelegte Menge erreicht ist, werden deine Sats automatisch an eine von dir hinterlegte Wallet-Adresse oder xPub ausgezahlt.
1 „Gefällt mir“
Vielen Dank! Und so etwas brauchen wir?
Das ergibt Sinn, um größere UTXOs zu bilden, mit denen du später Transaktionsgebühren sparen kannst. Bei 21Bitcoin sparst du per DCA beispielsweise monatlich 50 € an – und nach 10 Monaten wird automatisch ein einzelner UTXO über 500 € auf deine Wallet übertragen, statt 10 kleiner UTXOs à 50 €.
2 „Gefällt mir“
Verwendest du ein sicheres Passwort, welches sonst nirgends im Einsatz ist?
Also mindestens 12 Zeichen mit Klein- und Großbuchstaben, Zahlen und Sonderzeichen?
Auf jeden Fall Anzeige erstatten bei der Polizei. Ist das Passwort sicher, würde ich auch, je nach entwendeter Summe, prüfen, ob 21Bitcoin in Regress genommen werden wegen unsicherem Login.
1 „Gefällt mir“
Ja so gesehen ergibt das Sinn, DANKESCHÖN!
Und in diesen Fall ging es auf eine falsche Adresse?
Es war eine Adresse hinterlegt, aber nicht die richtige?
Und diese Auto-Überweisung geht ohne Nachfrage oder sonst eine Sicherheitsvorkehrung?
1 „Gefällt mir“
Japp, es geht auf die von dir im Vorfeld eingetragene Adresse. Sonst wär es kein Auto Transfer 
1 „Gefällt mir“
Auch wenn es eine Autofunktion hat, eine Abfrage wäre für mich Sinnvoll.
SO wie, ist das die richtige Adresse oder wie viel soll überwiesen werden.
Na ja es tut mir leid für den Betroffenen, sorry ich stelle schon wieder zu viele FRAGEN?
1 „Gefällt mir“
Gibt keine „zu viel“ Fragen 
– hab dir damals ja auch etliche PMs zu meinen Umbrel-Abstürzen geschickt 
Also, das ist eine automatische Auszahlung, bei der du ab einem von dir festgelegten Satoshi-Betrag eine Auszahlung veranlassen kannst. Aber wenn’s wirklich stimmt, dass es bei 21Bitcoin immer noch keine 2FA gibt, ist das schon ’ne ziemlich schwache Nummer. In der Regel sind die Beträge dort aber eher klein, weil dein Hauptpot ja auf der Hardware-Wallet liegt. Über 21Bitcoin sparst du nur bis zu einem definierten Betrag an, der dann automatisch auf deine Non-Custodial Wallet ausgezahlt wird.
1 „Gefällt mir“
Wunderbar erklärt VIELEN DANK DAFÜR!
Wie geht es der Node eigentlich hat sie mal wieder gezickt?
1 „Gefällt mir“
Schreib dir pm dann müssen wir hier das Thema nicht wechseln 
1 „Gefällt mir“
Ich bin nach wie vor nicht davon überzeugt, dass es überhaupt einen Angreifer in dem Fall gibt.
Ich teile die auch von mehreren anderen hier verfolgte Theorie, dass die 21bitcoin App automatisch an weitere Adressen (vermutlich Nr. 34 und 35) deiner Wallet sendet. Das gilt es jetzt zu verifizieren. Entweder bestätigt sich dann die Theorie, oder sie ist widerlegt.
Dazu ist entweder zu überprüfen, ob die 34. / 35. Adresse deiner BitBox Wallet mit den bei den Auszahlungen verwendeten Adressen übereinstimmt. Oder sicherzustellen, dass die BitBox auch die entsprechenden Adressen berücksichtigt.
Zur Erklärung (vereinfacht ausgedrückt), falls du nicht nachvollziehen kannst, was gemeint ist:
Normalerweise suchen Wallets nur einen bestimmten Bereich ungenutzter zugehöriger Adressen nach Beständen ab. Das sind oft nur 20 Stück. Sollte jetzt die 21bitcoin App (aus welchen Gründen auch immer) Adresse 34 + 35 deiner Wallet verwendet haben, wird sie mit der Standardeinstellung der BitBox ggf. nicht gefunden. Dies würde nur erfolgen, wenn man die BitBox dazu bringt, mehr Adressen abzusuchen. Dazu muss das sogenannte Gap Limit erhöht werden. In dem Fall auf mindestens 35.
Mehr zu den Hintergründen der Theorie und wie du - falls sie zutrifft - im ersten Schritt das Gap Limit der BitBox erhöhen kannst, um deine Bestände zu finden:
Bitte probiere das aus. Wenn du dir den beschriebenen Umweg in Verbindung mit der BitBox App nicht zutraust, müsstest du die BitBox in Verbindung mit alternativen Walletprogrammen wie Electrum oder Sparrow nutzen, und sicherstellen, dass dort ebenfalls ein entsprechend großer Adressbereich abgesucht wird. Da muss ich allerdings momentan mit einer entsprechenden Anleitung passen. Aber wenn du den Weg gehen möchtest, wird dir hier bestimmt weitergeholfen.
5 „Gefällt mir“
Es kann aber passieren, dass diese Adressen nicht von der BitBox App gescannt werden.
Siehe meine Ausführungen und die detaillierte Erklärung in den Links.
Es wäre jetzt noch interessant, ob
- Die 21bitcoin App bei Verwendung des X/ZPUBs bei Auto-Transfer jedesmal eine neue Auszahladresse verwendet? Das würde ja Sinn machen - sonst könnte man ja auch bei der Einzeladresse bleiben. Kann das jemand bestätigen, dass jedes mal eine neue Adresse verwendet wird?
- Zu den aufgeführten unterschiedlichen Wallets / Auszahladressen in den Details auch der zugehörige ZPUB ersichtlich ist? Falls JA: Stehen da bei dir @Soapp wirklich unterschiedliche ZPUBS (zpub123456, zpub234567, …), oder ist nur die Bezeichnung eine andere (BitBox-XPUB, Bitbox-XPUB - 34, Bitbox-XPUB - 35), und der verknüpfte ZPUB stets der gleiche?
Der Angreifer hat einfach eine neue Auszahlwallet, einen neuen Zpubkey angelegt. Da gibt es kein 2FA, leider. Die neue Auszahlwallet wurde dynamisch beim versenden angelegt und hatte einen NEUEN zpubkey. Ich hatte nach der ersten automatischen Überweisung, die ja automatisch bei einem bestimmten Betrag erfolgte in die App geschaut und gesehen dass da eine 2. Wallet angelegt war. Daraufhin habe ich diese neue Wallet gelöscht, sodass nur MEINE Auszahlwallet in der APP erschien, Anschliessend hatte ich eine kleine Testtransaktion an diese Wallet geschickt. Es wurde dann beim Versenden WIEDER dynamisch ein neues Auszahlwallet mit zpubkey angelegt, das dem Angreifer gehörte. :(
KEIN 2FA erforderlich