Hacks & Attacks

Ich befürchte, dies hier könnte in den nächsten Monaten zu einem stehenden Ressort werden.

Nachbetrachtung zum Coldcard-Bug

Wir haben alle unsere normalen Menschenkenntnisse und unser Vertrauen angewendet und uns dann für eine Lösung entschieden. Für mich war NVK, Coinkite und demzufolge auch die Coldcard cool und vertrauenswürdig. Oder anders gesagt, das waren meine Brüder.

Es hat sich jedoch gezeigt, dass das Coinkite-Team und dessen Ressourcen in der öffentlichen Wahrnehmung grösser dargestellt wurden, als sie wirklich waren.

	Coinkite	Ledger (als Beispiel)
Ruf in der Szene	Olympioniken	2. Liga
bekannte Probleme (vor 2026)	–	Kundendatenbank wurde mehrfach geklaut und für Phishing-Attacken ausgenutzt.
Umsatz	Millionen	Hunderte von Millionen
Ingenieure	2-3	100+

Viele Bitcoiner haben über Ledger und Trezor die Nase gerümpft und Coinkite und ihre Produkte gelobt. Das war und ist ein Problem, das sozial verankert ist, und mit Technologie nichts zu tun hat.

Wie gross war das Problem?

Wenn sich jemand ein neues Wallet einrichtet, dann steht am Anfang ein Zufallszahlen-Generator. Damit das Wallet die vorgesehene Sicherheit bietet, sollte diese eine Zahl aus 2^256 Möglichkeiten ausgewählt werden.

Diese Zufallszahl kann man z.B. analog erzeugen, indem man 24 mal ein Wort aus einem Hut mit 2048 Wörtern zieht wobei man das gezogen Wort jedes mal wieder in den Hut zurücklegt und mischt.

Der Coldcard-Bug hat dazu geführt, nicht mehr das Hardware-Element die Seed-Entropie erzeugte, sondern der MicroPython-Fallback der Firmware. Daher war die ausgewählte Zufallszahl nur noch eine aus 2^32.

Das ist in etwa so, wie wenn man die Wörter aus einem Hut mit 7 statt 2048 Wörtern zieht.

N^12 = 2^32
N = 2^(32/12) = 2^(8/3) ≈ 6.35

Von der normalen 2048-Wortliste müsste man also 2041 Wörter entfernen.

Soll man nun immer seine eigene Methode nutzen (würfeln, SeedSticks, etc)?

Jameson Lopp: Bequemlichkeit ist in fast jedem Fall der Feind von Sicherheit.

Wrench Attacks

Jameson Lopp hat eine Website erstellt, welche die Angriffe auf einer Landkarte darstellt.

Klickt man auf ein Land, so bekommt man die Details zu allen Angriffen die da stattgefunden haben.

Boltz stellt den Dienst ein

Bitcoin Magazine (Aug 10, 2026) hat am 10. August darüber berichtet, dass Boltz ihren Swap-Dienst einstellt, und dafür AI-assistierte Attacken verantwortlich macht. Source.

Als Reaktion darauf kann Shuestand nun auch direkt Lightning nach Onchain Swappen 😉

Revolut-Hack

Das Britische Fintech-Unternehmen Revolut bestätigte, dass es sensible Kundendaten an einen unbefugten Dritten weitergegeben hat, nachdem es betrügerische Anfragen erhalten hatte, die von einer E-Mail-Domain einer legitimen Regierungsbehörde gesendet worden waren.

Zu den offengelegten Daten gehörten Identitäts- und Kontaktdaten der Kunden, darunter Geburtsdatum, Post- und E-Mail-Adressen sowie Telefonnummern, außerdem Kopien von Ausweisdokumenten wie Reisepässen und Führerscheinen, wie aus einer Benachrichtigung hervorgeht, die an betroffene Kunden verschickt und von TechCrunch eingesehen wurde. Laut dieser Mitteilung könnten die Daten außerdem Verifizierungs-Selfies, Kontoauszüge und Transaktionshistorien enthalten haben (Quelle).

James Lopp: Insight into Hacks and Attacks

“Security Debt” in Software-Projekten

Security debt hat sich über Jahrzehnte akkumuliert und wird seit einiger Zeit mit verschiedenen komplementären Prozessen bekämpft (SOC 2, ISO 27001, penetration testing).

Im Rahmen von SOC 2 wurden bei Casa einmal pro Jahr externe Tests durchgeführt:

• Typical budget around 50k-100k USD
• Team ~6 people for ~1 month
• Output ~10-20 findings, which got fixed and retested

Heute werden von AI-Modellen hunderte von Beanstandungen gefunden.

Jameson strebt nun für Casa den Aufbau eines tägliches Audit an.

Wir können heute von froh sein, dass Bitcoin (Core) diesbezüglich über eine Dekaden Vorsprung auf den restlichen Softwaremarkt hat.

Empfehlungen:

• Hardware-Wallets verwenden (Laptops und Desktops sind unsicher)
• Casa: “don’t trust” muss genügen (“verify” ist zu schwer und zu teuer)
• Jameson findet, dass die Coldcard heute vermutlich eines der sichersten Wallets ist, er würde es aber nur in Multisig-Wallets einsetzen

Bitcoin ist bereit für eine Aufmischung im Immobilienmarkt

Liegenschaften (Real Estate)

Grant sieht eine grosse Umschichtung im Liegenschaftsmarkt auf sich zukommen. Steigende Zinsen und ein Generationenwechsel werden dazu führen, dass Werte aus dem kommerziellen Liegenschaftsmarkt abfliessen. Der Markt der Einfamilienhäuser wird sich seiner Ansicht nach dagegen nicht gross verändern.

Wie reagieren andere Immobilien-Unternehmer auf Ihre Aktionen? Sie reagieren aus folgenden Gründen nicht:

• Der typische amerikanische Immobilien Makler ist 55 Jahre alt, hat die ganze Karriere im TradFi verbracht, und ist müde und erschöpft von den vergangenen Krisen.
• REITs (Real Estate Investment Trusts) dürfen von Gesetzes wegen keine Bitcoin und andere Währungen halten.
• Die meisten können noch nicht einmal mehr Geld für ihr Immobiliengeschäft aufzutreiben.

Warum Liegenschaften und Bitcoin so gut zusammenpassen:

• Sie sind zwei grundverschiedene und komplementäre Assets, während z.B. Liegenschaften und Gold zu ähnlich sind.
• Da ein riesiger und eher träger Liegenschaftsmarkt (390 Billionen USD), da ein kleiner volatiler Bitcoinmarkt (1.6 Billionen USD).
• Bitcoin ist liquide und leicht zu managen, Liegenschaften sind illiquide und schwer zu managen.
• Liegenschaften sind vertraut, Bitcoin ist neu.

Und was läuft bei Anleihen (bonds)

Kontext

• Lyn Alden: “nothing stops this train” & “fiscal dominance”
• der Schulden-Schneeball (debt-based ponzi scheme) wird immer sichtbarer: die 40 Billionen USD Staatsschulden der USA werden von immer grösseren Kreisen als Problem gesehen (Bitcoiner reden seit Jahren Jahren darüber)
• Im Zeitalter der “fiscal dominance” gibt es keine Rezessionen mehr, da die Regierungen laufend neue Instrumente erfindend um Liquidität nachzuschütten und das BIP (GDP) stützt (QE 1, 2, 3, 4, ….)
  • Stablecoins und Tokenisierung sollten in diesem Zusammenhang die 900 Billionen USD an Welt-Assets handelbar machen (Umlaufgeschwindigkeit und Verfügbarkeit wird dramatisch hoch gehen)
• Wieso gehen in diesem Umfeld die Aktien immer weiter nach oben?
  • (künstliche) industrielle Revolution mit allen Mitteln: Datenzentren, AI, Kriege, Rüstung
  • Big Tech Hype Waves (mag7)
  • gesellschaftlich wichtiger Unterschied:
    • früher: M2 -> GDP -> Jobs
    • heute: M2 -> GDP -> Profits

Anleihen

• die Situation am Anleihenmarkt hat sich seit Februar drastisch geändert (nach Steven Major):
  • die Rendite der US 10y war < 4% und der Markt erwartete 3 Zinsenkungen
  • nun ist die Rendite bei 5% und alle erwarten 3 Zinserhöhungen
• die Zinsen steigen schneller in Ländern mit hoher Verschuldung
• ein Grossteil der Staatsschulden (US,UK) bestehen aus Anleihen mit Laufzeiten von 6 bis 18 Monaten
• die sechs grössten AI-Firmen haben zusammen 320 Milliarden USD an neuen Anleihen ausgegeben, eine Summe, die 68% aller langfristigen US-Staatsanleihen dieses Jahres entspricht
• die Währungen und nicht der Anleihenmarkt absorbieren die Schulden (Buffalo Bessent: “I am the House now”)

Bonds? Stocks? Gold? Bitcoin?

Die “komplementären” Anlagen sind enger miteinander gekoppelt, als der typische Bitcoin-Maxi das wahrhaben will. Im Fussball würde niemand postulieren, man sollte mit elf Stürmern antreten, es braucht verschiedene Positionen im Team.

Open USD: a shared stablecoin for global financial activity

Diese Woche startete der Stablecoin OUSD auf Solana, Ethereum und Base mit einem anfänglichen Volumen von 18 Millionen US-Dollar. Im Vergleich zu den über eine Milliarde US-Dollar an Liquidität, die die Gründungspartner für den künftigen Rückhalt des Tokens zugesagt haben, ist dieser Startbetrag jedoch noch verhältnismässig gering (Quelle).

Eckpunkte dazu

• OpenStandard hat den Stablecoin $OUSD auf Solana (neben Ethereum und Base) mit einer anfänglichen Unterstützung von 18 Millionen US-Dollar eingeführt.
• $OUSD wird von Bridge ausgegeben, einem Unternehmen im Besitz von Stripe, dessen Reserven bei BlackRock, Lead Bank und BNY Mellon gehalten werden.
• Die Gründungspartner Coinbase, Mastercard, Shopify, Stripe und Visa haben Liquiditätshilfen für OUSD in Höhe von über einer Milliarde US-Dollar zugesagt.
• OpenStandard-CEO Zach Abrams sagte, das Unternehmen wolle, dass OUSD “der nützlichste Stablecoin sei.”
• OpenStandard gibt an, dass es nach regulatorischen Standards arbeitet, die für Stablecoins und Finanzprodukte gelten.

36 % auf Wertzuwachs: Niederlande schockt mit Steuer

Das niederländische Abgeordnetenhaus (Tweede Kamer) hat eine grundlegende Umgestaltung des sogenannten „Box-3“-Steuersystems ab 2028 beschlossen. Künftig sollen nicht mehr pauschal geschätzte Renditen („fiktive Erträge“) besteuert werden, sondern die tatsächlich im Laufe eines Jahres entstandenen Wertveränderungen. Dies betrifft explizit Investitionen wie Aktien, Anleihen und Kryptowährungen. Der zentrale Mechanismus dabei: Die Steuer wird nicht erst beim tatsächlichen Verkauf einer Anlage fällig, sondern kann – je nach genauer Regelung – bereits auf rein jährliche Buchgewinne angewendet werden, selbst wenn die Anleger ihre Vermögenswerte im Depot behalten (Quelle).

Swift-Plattform transformiert das grenzüberschreitende Zahlungserlebnis

Swift ermöglicht es nun Kreditinstituten, internationale Transaktionen mit derselben Geschwindigkeit abzuwickeln wie inländische Zahlungen. Bis Ende Jahr werden 19 Banken (ANZ, HSBC, itau, lloyds, UBS, usw.) den Swift-ledger nutzen. Das Framework erweitert die etablierte Interbanken-Infrastruktur von Swift direkt auf den Endkundenbereich. Das Ergebnis: Personen und Unternehmen profitieren von vollständiger Kostentransparenz, verbindlichen Devisenkursen im Voraus und drastisch verkürzten Abwicklungszeiten. (Swift platform Quelle1; Swift’s blockchain ledger Quelle2): Quelle1 Video ab 2:30

Coinbase erhält CFTC-Zulassung für US-Derivate-Clearinghaus

Coinbase hat von der Commodity Futures Trading Commission (CFTC) die Zulassung erhalten, Coinbase Clearing LLC als eigene US-amerikanische Derivate-Clearingorganisation zu starten. Die Registrierung erlaubt dem Clearinghaus, vollständig besicherte Futures, Optionen auf Futures und Swaps abzuwickeln (Quelle).

Strategy hält jetzt 847’666 BTC

Das ist der höchste Stand den Strategy bislang gehalten hat. (Quelle). Als Vergleich: Strive (US-amerikanisches Vermögensverwalter mit aggressiver Bitcoin Strategy) hat Ende September 1’107 BTC gekauft und hält nun 27’462 BTC (Quelle)

Citi schliesst Partnerschaft mit Coinbase

Citigroup integriert die Krypto-Infrastruktur von Coinbase in ihre Händlerplattform Spring by Citi, um multinationalen Unternehmen nahtlose Stablecoin-Transaktionen zu ermöglichen. Das Prinzip beruht auf zwei Säulen:

• Fiat-Konvertierung: Zahlungen in Stablecoins werden von Coinbase direkt in USD getauscht und über Citi regulär an Händler ausgezahlt.
• Virtuelle Konten: Über Citis Virtual Account Wallet werden eingehende Gelder von Firmen automatisch in Stablecoins umgewandelt.

Brisanz: Die auf Coinbase umgewandelten Token bringen eine Verzinsung von 3,75 % p. a. Dies sorgt für brisante Dynamik, da verzinstes Krypto-Guthaben Mitte September 2026 u.a. das Aus für das US-Krypto-Gesetz Clarity Act bedeutete. Ausgerechnet Bankenverbände – inklusive des von Citi-Chefin Jane Fraser geführten Financial Services Forum – hatten zuvor gewarnt, dass zinstragende Stablecoins dem klassischen Bankensystem wertvolle Einlagen entziehen. (Quelle)