Ich hätte eine Frage bezüglich einem Thema was der Roman gestern im LiveStream angesprochen hat:
Aussage vom Blocktrainer: Wenn ein PC virenverseucht ist und ich steck meine Bitbox an kann mir nichts passieren und ich kann trotzdem Transactions durchführen, da das Aufgeben von einer Transaction über die Hardwarewallet bestätigt werden muss. Weiters steckt die Bitbox im Optimalfall ja auch nie direkt an der Schnittstelle des PCs sondern ist über den mitgelieferten Adapter verbunden.
Meine Frage ist nun: Angenommen der Schadcode stiehlt mir irgendwie meinen Privatekey von den Coins die auf der Bitbox liegen, beispielsweise weil ich sie unsicher am PC gespeichert hab (ist nicht der Fall aber nur angenommen haha). Dann kann der Hacker natürlich auf meine Coins zugreifen, da er sie auf einer x-beliebigen BTC-Wallet über den private Key recovern kann oder?
bzw. Bonusfrage: In diesem Fall nützt mir auch das 25 Wort (Passphrase) nichts mit dem mein Privatekey auf der Bitbox gehashed wurde, da dieses 25 Wort lediglich ein Sicherheitsmechanismus der Bitbox ist und mit BTC an sich nichts zu tun hat - stimmt das so?
Das ist nur ein Adapter, der hilft, wenn du keinen USBC Anschluss hast. Er ist kein Sicherheitsfeature.
Hat er nur den Private Key, kann er erstmal nichts stehlen. Es würde der passende Public Key fehlen. Diesen kann er aber aus dem Private Key ableiten und damit hätte er auch Zugriff auf die auf der einzelnen Adresse gespeicherten Coins.
Meinst du, dass der Seed gestohlen wird? Dann hat er beides und kompletten Zugriff auf deine Wallet mit fast jeder beliebigen Wallet Software.
Passphrase =/= Passwort
Die Passphrase wird nicht auf dem Gerät gespeichert und immer wieder entfernt, wenn du das Gerät vom Strom trennst oder sperrst.
Mit ihr wird ein komplett anderes Wallet generiert. Mit den 24 Wörtern ohne die Passphrase, kommt ein Angreifer nur an das Wallet, welches nur mit dem Seed gesichert ist. Das Wallet mit der zusätzlichen Passphrase ist sicher.
Das Passwort schützt die Box vor physikalischem Zugriff. Es ist bietet keinen Schutz, wenn der Seed entwendet wurde.
Vorsicht, der öffentliche Schlüssel kann natürlich aus einem privaten Schlüssel abgeleitet werden. Wer einen privaten Schlüssel hat, kennt auch den zugehörigen öffentlichen Schlüssel inklusive der Adresse.
Schadcode, der auf deinem Rechner läuft, hat schlichtweg keinen Zugriff auf Geheimnisse, die auf der BitBox02 liegen. Genau für diesen Anwendungsfall ist die Hardware-Wallet schließlich entwickelt.
Rein theoretisch, sollte jemand an privates Schlüsselmaterial gelangen (z.B. wie in deinem Beispiel), dann ist das natürlich ein Problem. Wer Zugriff auf dein Backup hat, kontrolliert deine gesamte Wallet. Wer Zugriff auf einzelne private Schlüssel hat, kontrolliert die Adressen, die mit diesen Schlüsseln zusammenhängen.
Auch über einen Adapter oder Verlängerungskabel steckt die BitBox02 direkt an der Schnittstelle des Rechners. Sicherheitstechnisch macht das keinen Unterschied. Die USB-Kommunikation ist aber ohnehin bis zur BitBoxApp Ende-zu-Ende verschlüsselt.
Und wie kommt ein potentieller Angreifer an einen PrivateKey? … Dies doch nur wenn der den Seed irgendwie hätte oder? Ander kann man doch nicht an den PrivateKey kommen, weil diese doch aus der Seed abgeleitet werden?
Fazit: wenn man seine Seed so sichert, dass da niemand ran kommt, dann ist alles Safe. Richtig?
