Bitcoin Weesen Nr. 27

Zum Einstieg wie immer ein kurzer Hinweis auf die Preisentwicklung seit November 2023. Wir haben bisher schon….

• … ein ATH (all-time high) erlebt 🥳
• … eine 50%-Korrektur (“cRaSh”) gesehen 😳
• … und stecken aktuell in einer zermürbenden Seitwärtsbewegung 🥱

R. U. HAPPY?

BancaStato ermöglicht Handel von Kryptowährungen

Die BancaStato der Tessiner Kantonalbank bietet ihren Kunden nun rund um die Uhr Handels- und Verwahroptionen für Kryptowährungen via E-Banking sowie Mobile-Banking-App. Die technische Umsetzung gelang durch Anbindung der Sygnum B2B-API ans Avaloq-Kernbankensystem. Angeboten werden initial Bitcoin (BTC), Ethereum (ETH), Litecoin (LTC) und Solana (SOL). Transaktionen laufen in USD ab. Quelle

Stimmt es, dass Japan Bankeinlagen in $XRP umwandelt?

Nein. Japan wandelt keine Bankguthaben in Höhe von 115 Milliarden Dollar in XRP um. Die im Internet kursierende Behauptung basieren auf einer tatsächlichen Entwicklung bei der SBI Shinsei Bank, aber nicht so wie es im Internet kursiert.

SBI Shinsei Bank ermöglicht es ihren Kunden 20% des Zinses ihrer Einlagen in Form von Krypto-Gutscheine zu erhalten. Die Gutscheine können Berichten zufolge über SBI VC Trade gegen Kryptowährungen wie Bitcoin, Ethereum und XRP eingelöst werden. Quelle

The Bitcoin Post Office

This is how Bitcoin really works, told as a mail depot. Everything you see moves the way the real network moves, just sped up so you can watch it. Quelle

Dubai Duty Free ermöglicht Zahlung mittels Kryptos

Berechtigte Einwohner der Vereinigten Arabischen Emirate (unklar was das bedeuted) können nun Crypto.com Pay nutzen, wenn sie in den Dubai Duty Free-Geschäften am Dubai International Airport und am Al Maktoum International Airport sowie über die Website des Unternehmens einkaufen. Quelle

Japan stuft Kryptowährungen als Finanzvermögen ein

Japan hat Kryptowährungen als Finanzinstrumente neu eingestuft und damit einen strukturellen Wandel, der der rechtlichen Rahmenbedinungen für die gesonderte Besteuerung von Krypto-Vermögenswerten und für künftige Krypto-Exchange-Traded Funds (ETFs) geschaffen. Weiter wurde zudem den Rahmen für eine Senkung der derzeitigen Steuerbelastung für Kryptowährungen von bis zu 55% auf 20% verabschiedet, wobei der niedrigere Steuersatz voraussichtlich erst 2028 in Kraft treten wird. Quelle

Sicherheit

Von Leib und Leben

France logged 77 bitcoin-linked kidnappings in the first half of 2026

Frankreich registrierte in den ersten sechs Monaten 2026 bereits 77 Krypto-bezogene Fälle von Entführung, Freiheitsberaubung und Erpressung. Das ist mehr als im gesamten Jahr 2025 mit rund 45 Fällen. Mehrere Taten wurden auf Datenlecks zurückgeführt, etwa beim französischen Steuer-Tool Waltio, sowie auf missbrauchte Halterdaten aus Steuerkreisen. Täter kombinieren solche Daten mit Social-Media-Spuren und öffentlichen Auftritten, um Bitcoin-Besitzer zu identifizieren, und setzen dann oft sehr junge Komplizen ein, um mit körperlicher Gewalt an die Coins zu kommen.

Schutz beginnt lange vor dem Angriff. Multi-Sig-Lösungen helfen, falls die Schlüssel auf getrennten Geräten an getrennten Orten liegen. So reicht ein einzelner Überfall nicht aus, um sofort eine Transaktion zu signieren. Aber auch das macht Zwang nicht unmöglich, besonders wenn Angreifer Druck über Angehörige ausüben. Am wichtigsten ist deshalb: Bestände, Wallet-Apps und ungefähres Vermögen nicht in sozialen Medien sichtbar machen und nicht darauf vertrauen, dass KYC-Daten oder Plattform-Lecks folgenlos bleiben.

Gegenüber Hackerangriffen

• Katastrophaler Coldcard-Fehler (Bitcoin Kurier, WBD mit Rob Hamilton)
• Umbau im Lightning-Netzwerk
• weitere Meldung sind zu erwarten

Hardware-Wallet Vorfälle und Update Empfehlungen

Coldcard: Über Tage wurden über 2’000 Bitcoin aus mehr als 4500 Wallets gestohlen. Der Fehler der diese Zugriffe ermöglichte lag in der Firmware des Coldcard-Wallet Anbieters Coinkite und wurde fünf Jahr lang nicht entdeckt. Es handelt sich um den Key Generater, der Teile des Schlüssels nicht zufällig generierte, sondern basierend auf logisch ableitbaren Vorgaben. So sank der Zufälligkeitsgrad der Schlüsselgenerierung markant und konnte mit hohem Rechenaufwand geknackt werden. Quelle

SafePal: Krypto-Wallet SafePal gibt eine Datenverletzung bekannt, bei der die Bestellinformationen von fast 40’000 Kunden offengelegt wurden. Bei diesem Vorfall wurden die persönlichen Bestelldaten der Kunden geleaked. Hingegen sind alle privaten Schlüssel, Seed-Phrasen und Krypto-Vermögenswerte gemäss den Ausführungen nicht betroffen. Quelle

BitBox: BitBox 08.2026 Dixence-Update. Quelle

Dieses Update behebt zwei ernstzunehmende Schwachstellen in der BitBox-Firmware, die intern durch das BitBox-Team entdeckt wurden. Außerdem informieren wir über eine Schwachstelle, die bereits mit dem kürzlich veröffentlichten Oeschinen-Update behoben wurde. Sie wurde zunächst intern entdeckt und später unabhängig von einem externen Sicherheitsforscher gemeldet.

Es gibt keine Berichte über gestohlene Nutzergelder und keinen Grund zur Panik. Wir empfehlen allen Nutzern, ihre BitBox auf die neueste Firmware-Version zu aktualisieren. Damit werden alle in diesem Artikel beschriebenen Sicherheitsprobleme behoben.

Bestehende Seeds sind nicht betroffen.

Unsichere Datenhaltung bringt selbst Polizisten in Gefahr

(again, again, and again…)

Die Datenbank des Polizeicorps in UK wurde gehackt. ⚡️🇬🇧 NEW – Die Namen, die Adresse und der Einsatzort von über 100’000 Mitarbeiter der Polizei in Grossbritannien wird aktuell auf dem Darknet angeboten. (MoD, Home Office, NCA and CPS staff are also exposed. One officer says the leak “puts officers at serious risk.”)

Compass Mining Datenbank Hacked

Was konkret geklaut wurde (oder besser: was Compass bisher selber schon gemerkt hat…):

• Account email addresses
• Invoice and transaction history, including payment amounts, invoice amounts, and associated dates.

Es gibt zwei Klassen von Datenbanken, man sollte sich entsprechend vorbereiten:

• solche die schon gehackt wurden
• solche die demnächst gehackt werden

Das bedeutet, dass wir uns viel sorgfältiger im Internet bewegen müssen:

• wenn eine E-mail auch nur ganz leicht komisch klingt oder ausschaut: Header anschauen (z.B. eine Mail von der SBB mit absender bounces+95008-f178-marius=mess.ch@em7448.cardpage.com)
• bevor ich was eintippe, immer Schloss-Symbol checken

Bull Bitcoin vs. französische DAC8-Umsetzung

Bull Bitcoin hat am 24. Februar 2026 beim französischen Conseil d’État eine Klage eingereicht, um das französische Dekret Nr. 2025-1276 vom 19. Dezember 2025 aufheben zu lassen. Dieses Dekret setzt DAC8 in Frankreich um. DAC8 selbst ist die EU-Richtlinie 2023/2226; sie gilt seit 1. Januar 2026, und die erste Meldung für das Berichtsjahr 2026 ist laut EU-Kommission bis spätestens 30. September 2027 fällig.

Worum geht es?

Bull Bitcoin argumentiert im Kern, DAC8 erzwinge eine massive Sammlung und Weitergabe personenbezogener Krypto-Transaktionsdaten, was unverhältnismäßig sei und Sicherheitsrisiken schaffe. Kurz: DAC8 ist die EU-Steuer-Meldepflicht für Krypto plus automatischer Datenaustausch zwischen Staaten.

In der Darstellung des Falls werden insbesondere vier Linien betont:

• mangelnde Verhältnismäßigkeit wegen der Transparenz öffentlicher Blockchains
• fehlender Nachweis der Wirksamkeit
• mögliche Ausweichreaktionen der Nutzer in weniger regulierte Kanäle
• … und das Argument, dass es bereits gezielte Auskunftsrechte der Steuerbehörden als milderes Mittel gebe

Ausfälle bei Lightning-Zahlungen

Aufgrund von publizierten (und noch nicht publizierten) CVEs im Code der wichtigen Lightning-Software wurden viele Kanäle geschlossen. Insbesondere der Lightning-Node der Krypto-Börse Kraken wurde komplett abgebaut und auch WalletOfSatoshi.com hat 80% der Kanäle geschlossen und die Kapazität von 150 auf 8 BTC gesenkt.

Dies hat auch Auswirkungen auf die Zuverlässigkeit von Zahlungen über Open_Hand und die Mountainlake-Dienste. So hatte ich Probleme im Spar zu bezahlen. Nun bin ich daran, neue Kanäle aufzubauen um die Route zu DFX.swiss wieder sicherzustellen.

Bitcoin Red Team

Das Red Team wurde von Rob Hamilton und Calle ins Leben gerufen, um die Löcher im “Bitcoin-Stack” vor böswilligen Angreifern zu finden. Die neuste Welle von Hacker-Angriffen wurde auch aufgrund neuer KI-Modelle möglich.

Gained a ton of new insights working in bitcoin red team 🟥 that i wish i could share without vague posting. but this is what i got anon.

• we’re experiencing a massive collision between decades of human open source slop against 2 weeks of kimi k3 (not good)
• everything is broken, bitcoin is burning
• bitcoin is becoming stronger through this
• bitcoin is the obvious first target but the rest of the world will follow shortly
• sometimes old things need to burn so new things can grow on healthy soil
• humans should never code in c (just stop)
• lightning is complicated and is more broken than the average (sorry)
• verification is free. we used to complain about slop PRs. then about slop security audits. if you can’t handle the information overload, stop complaining and use AI to sort through it.
• those projects that started AI audits months ago are in a completely different position than those who didn’t
• projects need their own AI audit pipeline going into the future
• the burden for a developer to keep software safe and secure is pretty stressful and not for everyone. it has become a lot more stressful now.
• unmaintained projects are most probably broken, don’t rely on them. i’d rather one-shot it myself with a modern AI
• multiple concurrent, diverse human approaches have proven to be the best vulnerability search method
• external red teaming will probably have to continue forever
• we’ve basically completed a basic scan of virtually the entirety of bitcoin open source. the low hanging fruit is done.
• we’ve reported a ton of real critical and high vulnerabilities. project maintainers across the board have validated our findings.
• response speed is very different across projects and shows how healthy each project is. i recommend acting fast these days.
• red team etiquette matters. if you don’t disclose responsibly, boast on twitter about your findings on a particular project, or make indications about the nature of particular findings, you’ve disqualified yourself as a serious security researcher. trust is the most important factor in this game. if you lose it, it’s very hard to win it back.
• did i mention that humans should not code in c?

BIP-110 Nothingburger

This Week in Bitcoin (Episode 118)

• 8:27: Start der BIP-110 Ereignisse um den Split
• 13:50: Start des Livestreams mit den BIP-110 Befürwortern

Wer einmal im Detail sehen will, wie sich kognitive Dissonanz anhört, der sollte sich den Clip um 13:50 einmal anhören.

Schulden, Schulden, nichts als Schulden

---

Peter sieht ein Bitcoin-Steigerungspotential von 100x in den nächsten zehn Jahren, nicht zuletzt aus der Umschichtung von Gelder aus dem Immobilienmarkt. Wir hatten noch nie ein Geld, dessen Menge absolut beschränkt ist. Selbst die Goldmenge wächst mit 1.5-2% pro Jahr.

---

In den ersten Minuten hat man das Gefühl, dass Michael ein FIAT-ler ist. Mit der Zeit merkt man aber, dass er das aktuell System kritisch, nüchtern, und pragmatisch analysiert:

• Die Hauptaufgabe der Finanzmärkte ist es, Schulden zu refinanzieren. Falls dies nicht mehr gelingt, resultiert daraus eine Finanzkrise.
• Paradoxerweise wollen die Finanzmärkte, dass die Liquidität bei ihnen bleibt und für (falsche) Kursfeuerwerke sorgt und nicht etwa in die Realwirtschaft abwandert. Letzteres ist gut für die Konsumenten aber kurzfristig schlecht für die Investoren.
• Die Zentralbanken werden das Finanzsystem mit Liquidität versorgen: (QE1, QE2, QE3, QE4, …).
• Die demographische Entwicklung sieht schlecht aus in der westlichen Welt

BitcoinSuisse Quantum Hub

Der Quantum-Hub von BitcoinSuisse ist eine starke Informations-Quelle zu den aktuellen Entwicklungen bei Quantencomputern und deren mögliche Auswirkungen auf Bitcoin.

Demo

Silent Payments

S.P. ermöglichen das Pubizieren und Teilen einer statischen Bitcoin Adresse ohne das dadurch die ganze Welt sätmliche Ein- und Auszahlungen mitverfolgen kann.

Folgende Wallets können aktuell bereits an neuen Addressen senden (jedoch noch nicht darauf empfangen): Wasabi Wallet, BitBox app, BlindBit Desktop, BlueWallet, Cake Wallet, Dana Wallet, Nunchuk Wallet

Wallets mit vollem Support: Sparrow Wallet

Adress Format (Spenden an diese Adresse gehen zuhanden von Bitcoin Weesen)

Zahlungen kommen dann auf eine herkömmliche Bitcoin Adresse zu liegen, z.B. “bc1pyx....." (Bitcoin Bech32m Taproot-Adresse). Im Explorer kann man also nicht unterscheiden, ob es sich um eine Silent Payment oder eine herkömmliche Transaktion handelt.

Der Backend-Server muss allerdings für Silent Payments eingerichtet sein um zu erkennen, dass eine Zahlung angekommen ist:

frigate.mountainlake.io:50012

NB: Offebar war für die Implementierung von Silent Payments ein Pull Request notwendig, der noch nicht in den main branch von Bitcoin core aufgenommen wurde. Daran kann man sehen wie neu dieses Adress-Format ist.

Weitere Technische Details

Die sp-Adresse enthält im Wesentlichen:

• das Netzwerk über den Prefix, z. B. sp für Mainnet
• die Version des Silent-Payment-Formats, bei v0 typischerweise sp1q...
• zwei öffentliche Schlüssel des Empfängers:
  • der Scan Public Key
  • der Spend Public Key (github.com)

Der Sender nimmt die sp-Adresse des Empfängers und kombiniert deren Public Keys mit den eigenen Input-Private-Keys der Transaktion, um per ECDH/shared secret die konkrete einmalige Zieladresse zu berechnen.

Der Sender berechnet einen Schlüsselwert, den beide Seiten unabhängig voneinander ausrechnen können. Aus diesem Schlüsselwert entsteht dann der konkrete Taproot-Output. Silent Payments sind so gebaut, dass keine Interaktion nötig ist: der Empfänger veröffentlicht eine statische Silent-Payment-Adresse, und der Sender benutzt diese zusammen mit den Schlüsseln seiner gewählten Inputs, um ein gemeinsames Geheimnis abzuleiten. (bitcoinops.org).

Der Empfänger erkennt die Zahlung, indem er für jede relevante Transaktion fragt: „Wenn ich meinen geheimen Scan-Key mit der öffentlich sichtbaren Sender-Komponente dieser Transaktion kombiniere, entsteht dann genau der Taproot-Output, den ich hier sehe?“