Multisig 2 von 3 mit Bitbox02 und Electrum, Einsteiger Fragen

Das ist nicht nur in Ordnung, sondern in den meisten Fällen auch erwünscht, falls die Threads nicht uralt sind! :slightly_smiling_face:

Bei einer einfachen Nicht-Multisig-Wallet ist das Problem, dass man nur eine einzelne HW-Wallet verwendet. Das führt zu Risiken in zwei Kategorien:

  • Betrug durch den Hersteller (Leaken des Seeds, Vorgabe des Seeds, Vortäuschung falscher xpubs etc.)
  • Sicherheitslücke in Software oder Hardware des Geräts

Beide Risiken kann man niemals komplett ausschließen; auch nicht durch open-source, reproducible Builds etc. . Die Diskussion möchte ich gar nicht aufmachen.

Bei einer Multsig-Wallet mit drei unterschiedlichen Geräten kannst du das Risiko durch Sicherheitslücken nahezu komplett ausschließen. Es wären sehr sehr unwahrscheinliche Dinge denkbar, die ich aber ausschließen würde.

Beim Herstellerbetrug kannst du allerdings selbst bei einer Multisig-Wallet mit drei unterschiedlichen Geräten nur fast das komplette Risiko ausschließen.
Meine Wissens verbleibt nur die Möglichkeit, dass dir eine der HW-Wallets einen falschen xpub vortäuscht, wonach dich der Hersteller erpressen könnte (hier erwähnt). Wie Wahrscheinlich das ist, muss jeder selbst einschätzen.

Zu deiner eigentlichen Frage…

Verwendest du ein Multsig-Setup, in dem zwei Geräte identisch sind, landest du bzgl. der beiden oben genannten Risiken leider wieder fast auf dem Sicherheits-Niveau der einfachen Wallet.

  • Betrug durch den Hersteller:
    → Falls du auf jeder HW-Wallet die xpubs der anderen Wallets registrierst, kennen die zwei identischen Geräte alle notwendigen Daten um dich zu bestehlen (3 xpubs und 2 Seeds). Sollten sie diese Infos leaken wäre das schlecht.
    Falls du die xpubs nicht regstrierst, gehst du wieder ein anderes Risiko ein.
    Außerdem könnte auch die Wallet-Software auf dem PC die xpubs leaken. Wenn die Software also auch vom Hersteller der beiden Wallets stammt, oder eine Kooperation besteht, wäre das schlecht.
    Das Vorgeben Hersteller-bekannter Seeds wäre erst einmal nicht ausreichend. Aber auch hier wäre bei betrügerischer Unterstützung durch die Wallet-Software alles verloren.

  • Sicherheitslücke in Software oder Hardware des Geräts
    → Im Prinzip ähnliches Problem wie beim Betrug. Wenn man eine Lücke nutzen kann, um an die Seeds oder Keys von zwei Geräten zu gelangen, fehlt immer noch der xpub der dritten Wallet.
    Evtl. kommt man durch die Sicherheitslücke aber auch an den ran, wenn er auf den Geräten registriert wurde, oder wenn eine betrügerische Wallet-Software hilft.

Ich würde also sagen, dass bzgl. Hersteller-Betrug und Sicherheitslücken einige Risiken immer noch stark abgeschwächt werden, aber man viel Sicherheit eines Setups mit drei unterschiedlichen Geräten verliert.

1 „Gefällt mir“