复生Crypto

Robinhood Crypto hat kürzlich offengelegt, dass die 24-Stunden-DEX-Handelsvolumina für Stock Tokens auf der Robinhood Chain bei etwa 1,5 Milliarden US-Dollar liegen.

Das Anziehen der Handelsaktivität ist nur der erste Schritt. Als Nächstes stellt sich die viel praktischere Frage: Wie kommt ein Vermögenswert von einem anderen Netzwerk herein und wie verlässt man ihn dann sicher wieder?

Beim Cross-Chain geht es nicht darum, die Coins aus der Wallet einfach „auf eine andere Chain umzuschreiben“. Üblicherweise braucht es eine Bestätigung der Quell-Chain, dann die Verarbeitung über eine Bridge oder einen Router, und schließlich die Gutschrift auf der Ziel-Chain. In jedem Zwischenschritt kann etwas schiefgehen. Nutzer sehen dann vielleicht „Transaktion erfolgreich“, aber die Assets sind noch nicht wirklich auf dem Netzwerk angekommen, in dem sie verwendet werden sollen.

Die Robinhood Chain ist ein Ethereum-kompatibles L2. Offiziellen Angaben zufolge ist die Chain-ID der Mainnet-Chain 4663, und für die Gas-Kosten wird ETH verwendet. Das heißt: Auch wenn ein Nutzer nur einen bestimmten Token traden will, muss auf der Ziel-Chain weiterhin Gas vorbereitet werden. Eine falsche Netzwerk-Auswahl oder eine falsch konfigurierte RPC kann dazu führen, dass Guthaben und Transaktionsstatus nicht korrekt angezeigt werden.

Genau hier liegt der echte Mehrwert einer Multi-Chain-Wallet: Nicht alles in eine einzige Oberfläche zu stopfen, sondern Nutzern klarzumachen, welches Netzwerk gerade aktiv ist, welche eingegangenen Assets verfügbar sind und welchen Transaktionspfad der Trade nimmt.

CatWallet ist für das Management von Multi-Chain-Assets gedacht. Laut den vom Anbieter bereitgestellten Informationen ist CatWallet bereits für Cross-Chain-Transaktionen angebunden und kann als Einstiegspunkt für die Umwandlung von Multi-Chain-Assets dienen.

Aber ein einfacherer Einstieg bedeutet nicht, dass das Risiko verschwindet. Vor dem Cross-Chain-Transfer müssen weiterhin die Quell-Chain, die Ziel-Chain, die eingegangenen Assets, der Slippage und der Inhalt der finalen Signatur überprüft werden.

Die Aufmerksamkeit rund um die Robinhood Chain kann Traffic bringen. Was Nutzer wirklich bindet, sind am Ende vor allem Transaktionen, die man in jedem Schritt versteht, die man nachschlagen kann und bei Problemen bei denen man weiß, auf welcher Ebene sich die Assets befinden.

#Robinhood #L2 #Cross-Chain #CatWallet

Die „Leak“-Version von GTA6 ist noch nicht aufgetaucht, aber der Drainierer, der sich als Download-Website ausgibt, ist bereits online. Malwarebytes hat kürzlich eine gefälschte Seite analysiert, die mit dem echten Veröffentlichungsdatum, der Karte und Spielinformationen Nutzer dazu verleitet, ihre Wallet zu verbinden und zu signieren.

Das Gefährliche an solchen Betrugsmaschen ist, dass auf der Seite oft viele echte Informationen stehen. Ein echter Countdown, offizielle Bilder und korrekte Spieldaten beweisen nur, dass der Betrüger sich Mühe mit der Seite gegeben hat — nicht, dass der Bezahlvorgang echt ist.

Der Angriff passiert an diesem Bestätigungs-Schritt der Wallet. Ein bösartiges Skript liest zuerst die öffentliche Adresse und den Vermögensstatus aus und erstellt dann je nach Wallet-Guthaben eine Überweisungs- oder Autorisierungsanfrage. Eine Überweisung kann Vermögenswerte sofort abziehen, während eine Genehmigung es dem Angreifer später ermöglichen kann, Token oder sogar NFTs über einen Smart Contract abzuziehen.

Das ist anders als ein normaler Fake-Download. Der Nutzer zahlt nicht einfach nur eine einmalige Gebühr, sondern kann seine gesamte Wallet einer Reihe gezielter Transaktionsanfragen aussetzen.

Bei solchen Seiten sollte man nicht nur darauf achten, ob die Website überzeugend aussieht, sondern vor allem auf die tatsächlichen Aktionen im Wallet-Popup. Eine Spiele-Download-Seite hat keinen Grund, eine unbegrenzte Token-Genehmigung zu verlangen, und keinen Grund, dich nahezu dein gesamtes Guthaben übertragen zu lassen.

Die Blockchain prüft nur, ob eine Signatur gültig ist; sie beurteilt nicht, ob du von der Website in die Irre geführt wurdest. Echte Spielinformationen legitimieren auch keine verdächtige Transaktion.

Nutze für häufige Interaktionen nur eine Wallet mit kleinen Beträgen; langfristige Vermögenswerte sollten nicht mit unbekannten Websites verbunden werden. Prüfe vor dem Signieren die Empfängeradresse, den Betrag und den Genehmigungsempfänger. Wenn eine Anfrage nicht zur aktuellen Aktion passt, lehne sie direkt ab.

Eine Website kann sehr echt aussehen — eine Signaturanfrage muss separat überprüft werden.

Das US-Justizministerium und CrowdStrike haben kürzlich angekündigt, das Sality-Botnetz zu bekämpfen. CrowdStrike erklärte, dass etwa 15.000 infizierte Computer dieses Netzwerk bildeten, und dass das EggJagger-Tool die Zwischenablage überwacht, um kopierte Adressen von Krypto-Wallets durch die Adresse des Angreifers zu ersetzen.

Diese Art von Angriff erfordert weder das Knacken der Blockchain noch zwingend das Eindringen in ein Wallet. Es genügt, zwischen „Adresse kopieren“ und „Überweisung bestätigen“ einen Textabschnitt zu verändern.

Dass eine On-Chain-Transaktion „gültig signiert“ angezeigt wird, beweist daher nicht, dass der Empfänger auch wirklich die Person ist, an die Sie ursprünglich senden wollten. Die Blockchain prüft Signaturen und führt Transaktionen aus, sie entscheidet aber nicht darüber, ob die Adresse in der Zwischenablage von Schadsoftware ersetzt wurde.

Die wirksamste Verteidigung besteht nicht darin, nur die ersten und letzten Zeichen der Adresse zu prüfen, sondern auf der letzten Bestätigungsseite des Wallets die vollständige Adresse zu kontrollieren. Bei großen Überweisungen zuerst einen kleinen Testbetrag senden und ein separates Gerät verwenden; wenn der Computer ungewöhnlich heiß wird, ruckelt oder unbekannte Prozesse erscheinen, die Signatur zunächst stoppen.

Wenn das Gerät bereits infiziert ist, ist das Entfernen der Schadsoftware nur der erste Schritt. Außerdem sollten Wallet-Verbindungen, Berechtigungen und kürzliche Transaktionen überprüft werden; falls nötig, sollten die Vermögenswerte in ein neu erstelltes sicheres Wallet migriert werden.

Die letzte Meile der Wallet-Sicherheit ist nicht ein Blockchain-Knoten, sondern der Bildschirm, den Sie sehen, bevor Sie auf „Bestätigen“ klicken.

Trust Wallet hat angekündigt, am 15. September die integrierte Unterstützung für 25 Netzwerke einzustellen. Die betroffenen Vermögenswerte verschwinden nicht von der Blockchain, aber die ursprünglichen Netzwerkeinträge in der Wallet werden entfernt. Nutzer müssen möglicherweise manuell RPC hinzufügen, um weiterhin Guthaben zu sehen und Transaktionen auszuführen.

Dieser Fall zeigt: Nur weil eine Wallet eine Chain unterstützt, heißt das nicht, dass die Wallet die Vermögenswerte auf dieser Chain „besitzt“. Eine Wallet ist meist nur eine Kombination aus Schlüsselverwaltung, RPC-Client und Oberfläche zum Signieren von Transaktionen.

Kontostände werden auf den Knoten der Blockchain gespeichert. Die Wallet liest Guthaben und Transaktionsverlauf über RPC-Anfragen aus und signiert Transaktionen anschließend mit dem lokalen Schlüssel. Wenn eine Wallet die Anzeige einer bestimmten Netzwerks deaktiviert, ändert sich der Zugriffsweg, nicht der Zustand auf der Chain.

Das eigentliche Problem ist die RPC-Konfiguration. Netzwerkname, Chain ID, Symbol des nativen Tokens und RPC-Adresse: Schon ein einziger falsch eingetragener Wert kann dazu führen, dass die Wallet sich mit dem falschen Netzwerk verbindet oder falsche Guthaben- und Transaktionsinformationen anzeigt.

Beim manuellen Hinzufügen eines Netzwerks sollte man die Parameter nicht einfach aus einem Gruppenchat übernehmen, sondern sie mit der offiziellen Projektdokumentation oder vertrauenswürdigen Chain-Registry-Einträgen abgleichen. Bei Staking-, Delegations- und Vertrags-Assets muss vor einer Migration außerdem geprüft werden, ob die neue Wallet den entsprechenden Transaktionstyp unterstützt.

Nur die Wiederherstellungsphrase zu importieren und zu sehen, dass die Adresse erscheint, bedeutet nicht, dass alle Funktionen ordnungsgemäß nutzbar sind. Nach der Wiederherstellung müssen Vermögenswerte, Staking, Delegation und Transaktionsverlauf zusätzlich überprüft werden.

Eine Wallet ist eher eine Bedienoberfläche für den Zugang zur Blockchain als das Vermögen selbst. Wer die langfristige Nutzbarkeit einer Wallet beurteilt, sollte nicht nur darauf schauen, wie viele Chains sie unterstützt, sondern auch darauf, ob Nutzer Schlüssel sicher exportieren, RPC wechseln und Konten mit anderen kompatiblen Tools wiederherstellen können.

Apps können offline gehen; On-Chain-Konten verschwinden nicht automatisch, nur weil eine bestimmte Wallet die Unterstützung einstellt.

Eine grenzüberschreitende Nachricht benötigt „die Bestätigung durch eine Mehrheit der Validatoren“—das klingt so, als wäre es umso sicherer, je mehr Signaturen vorhanden sind. Wenn jedoch in der Liste der Validatoren dieselbe Person zweimal auftaucht, ist die Lage völlig anders.

Das kürzlich auf der BNB Smart Chain eingeführte Pasteur-Upgrade adressiert genau dieses Problem. BEP-682 verlangt, dass bei der Verifizierung von Light-Blocks zwischen Ketten doppelte Validatoren abgelehnt werden, um zu verhindern, dass dasselbe Gewicht mehrfach angerechnet wird.

Die Logik der Verifizierung von Cross-Chain-Bridges lässt sich ganz einfach so verstehen: Die Validatoren signieren jeweils eine Nachricht; das System beurteilt anhand des Gewichts jedes Validators, ob der Schwellenwert erreicht wird. Entscheidend ist hier nicht die Anzahl der Signaturfelder, sondern wie viele unabhängige Identitäten hinter den Signaturen stehen.

Wenn ein Angreifer eine Liste konstruieren kann, die doppelte Validatoren enthält, kann das Gewicht desselben Validators möglicherweise mehrfach berechnet werden. Nach außen wirkt es so, als sei genug Unterstützung eingegangen; tatsächlich könnten jedoch nur wenige Validatoren wirklich an der Bestätigung beteiligt gewesen sein.

Genau an dieser Stelle wird ein Multi-Signature-Wallet oft übersehen. Ein 3/5-Multi-Sig bedeutet nicht zwangsläufig, dass fünf unabhängige sichere Parteien dahinterstehen. Wenn fünf Schlüssel von demselben Server, demselben Team oder demselben Key-Management-System gesteuert werden, kann das formale Multi-Sig trotz allem möglicherweise nur einen einzigen Fehlerpunkt haben.

Auch MPC ist ähnlich. Es kann Schlüssel auf mehrere Beteiligte aufteilen, kann jedoch nicht automatisch beweisen, dass diese Beteiligten zu unterschiedlichen Betreibereinheiten gehören, und es kann weder Rechte-Governance noch Fehlerisolation ersetzen.

Daher kann man nicht nur daran beurteilen, wie viele Personen eine Unterschrift leisten müssen, ob ein Multi-Sig- oder Cross-Chain-System zuverlässig ist. Man muss auch prüfen, ob die Signaturen von unabhängigen Identitäten, unabhängigen Schlüsseln und unabhängigen Fehler-Domänen stammen.

Die Sicherheit von Mehrheits-Signaturen hängt davon ab, ob die Mehrheit wirklich aus unterschiedlichen Personen besteht.

RFI und Safeheron starten diese Woche einen Pilotversuch für quantensichere digitale Assets. Beteiligte Institutionen testen auf dem NEAR-Testnet die Wallet-Generierung und On-Chain-Transfers. Die Signaturschicht basiert auf dem NIST-FIPS-204-Standard ML-DSA-65 und wird mit einem Multi-Party-Computing-Prozess (MPC) kombiniert.

Der technische Schwerpunkt dieses Tests liegt nicht darin zu beweisen, dass Quantencomputing bereits in der Lage ist, bestehende Wallets zu knacken, sondern zu verifizieren, ob die Wallets die Signaturalgorithmen austauschen können, ohne das gesamte Custody-System neu aufzubauen.

Traditionelle Wallets binden typischerweise Adressformat, Private-Key-Format, Transaktionskodierung und Verifizierungsregeln an dasselbe Elliptic-Curve-Setup. Nach der Migration zu ML-DSA werden der Umfang des öffentlichen Schlüssels und der Signaturen deutlich größer. Hardware-Security-Module, MPC-Knoten, Transaktionsparser und die On-Chain-Verifikationslogik müssen daher synchron angepasst werden. Allein das Ersetzen der Signierfunktion im Client reicht nicht aus, um die Migration durchzuführen.

Auch MPC bringt nicht automatisch Quantensicherheit. MPC adressiert das Problem, dass der Private Key nicht als vollständiger Einzelwert an einem Punkt auftaucht; wenn die Parteien weiterhin traditionelle Signaturalgorithmen gemeinsam ausführen, bleiben die zugrunde liegenden mathematischen Annahmen unverändert.

Dieser Pilotversuch integriert postquantendliche Signaturen direkt in den verteilten Generierungs- und Signierprozess. Getestet wird der vollständige Lebenszyklus des Schlüssels, einschließlich Schlüsselgenerierung, fragmentierter Aufbewahrung, gemeinsamer Signatur und On-Chain-Verifizierung.

Postquantendliche Wallets müssen „Kryptagranularität“ bzw. „Passwort-/Kryptoagilität“ besitzen: Konten können das Signaturschema upgraden, alte Assets können migriert werden, und neue sowie alte Algorithmen können in der Übergangsphase koexistieren, während Wiederherstellungs- und Audit-Prozesse weiterhin wirksam bleiben.

Die eigentliche Engineering-Herausforderung besteht nicht darin, einen neuen Schlüssel zu erzeugen, sondern die gesamte Kette der Autorisierung so abzusichern, dass sie sicher den Schlüssel wechseln kann.

#钱包技术 #后量子密码 #MPC

Bitwise hat kürzlich tokenisierte Aktienportfolios auf den Markt gebracht, die in einem persönlichen Wallet gespeichert werden können. Die Vermögenswerte lassen sich on-chain übertragen oder über automatisierte Strategien anpassen, aber das bedeutet nicht, dass die zugrunde liegenden Aktien zu einem vermittelnden Zwischenprodukt ohne Intermediäre geworden sind.

Tokenisierte Aktien werden in der Regel von spezialisierten Einrichtungen ausgegeben, während die zugrunde liegenden Wertpapiere in separaten Verwahrkonten gehalten werden. Der Wallet-Inhaber kontrolliert On-Chain-Tokens, die die entsprechenden Rechte repräsentieren; die Aktienregistrierung, die Verwahrung der Vermögenswerte, die Compliance-Prüfung und die Rücknahme (Rückkauf) werden jedoch weiterhin von Off-Chain-Institutionen durchgeführt.

Der private Schlüssel adressiert daher vor allem das Problem der Token-Übertragbarkeit. Er kann unautorisierte Wallet-Transfers verhindern, aber er kann nicht die Risiken beseitigen, die sich aus Emittenten, Verwahrstellen und rechtlichen Strukturen ergeben.

Einige Produkte unterscheiden außerdem zwischen „verifizierten Inhabern“ und „nicht verifizierten Inhabern“. Adressen, die zwar über DeFi Token erhalten haben, aber die Compliance-Prüfung noch nicht abgeschlossen haben, können die Token möglicherweise nur halten oder übertragen, jedoch nicht Aktien oder Cash zurücknehmen; außerdem können sie bestimmte Inhaberrechte nicht ausüben.

Das zeigt, dass On-Chain-Übertragbarkeit und rechtliches Eigentum zwei getrennte Ebenen sind. Token können rund um die Uhr gehandelt, selbst verwahrt und in DeFi integriert werden, aber ihr endgültiger Wert hängt weiterhin davon ab, ob die zugrunde liegenden Vermögenswerte tatsächlich existieren, ob die Verwahrstruktur wirksam ist und ob der Inhaber klare Rücknahme- und Anspruchsrechte hat.

Selbstverwahrung garantiert die On-Chain-Kontrolle, bedeutet aber nicht automatisch Eigentum am zugrunde liegenden Vermögenswert.

#RWA #Wallet-Technologie #tokenisierte Aktien

Ich bin gerade auf eine Art Betrug gestoßen, die sich besonders gut als etwas anderes tarnt: ein gefälschtes AML-Website.

Die Seite sieht extrem echt aus: Mit Scan-Animationen, einer Risikobewertung und sie sagt dir sogar, ob deine Wallet „sauber“ ist oder ob „Risiko“ besteht. Aber mitten im Prozess fängt sie an, dass du deine Wallet verbinden, eine Gebühr für den Check bezahlen und sogar eine Transaktion signieren sollst.

Hier gibt es eine ganz einfache Methode zur Prüfung:

Suche eine öffentliche Adresse. Warum sollte man dafür die Berechtigung bekommen, Vermögenswerte zu verwalten?

Echte grundlegende AML-Abfragen brauchen nur die Wallet-Adresse und die öffentlich verfügbaren On-Chain- Aufzeichnungen. Es werden weder Recovery-Phrase, Private Key noch Token-Autorisierungen benötigt, und auch keine Transaktion muss signiert werden.

Wenn du also Hinweise wie „Wallet verifizieren“, „Vermögenswerte wiederherstellen“ oder „Compliance-Check abschließen“ siehst, dann klick nicht sofort auf Bestätigen.

Das Abfragen einer Adresse sollte keine Ausgaben-/Spendeberechtigung erfordern, das Prüfen des Kontostands sollte keine Token-Autorisierung verlangen, und der Support sollte dich nicht bitten, eine Recovery-Phrase einzugeben.

Je professioneller die Seite wirkt, desto genauer solltest du hinschauen, wofür sie dich eigentlich unterschreiben lassen will.

Ist dir so eine scheinbar sehr seriöse Prüfseite schon mal begegnet?

Socket hat heute eine Reihe bösartiger Firefox-Erweiterungen offengelegt: 40 sind bereits bestätigt, Wallets oder Zugangsdaten zu stehlen, und weitere 37 stehen in Verbindung mit demselben Veröffentlichungssystem.

Noch bemerkenswerter als „gefälschte Wallets“ im Shop ist, dass einige Erweiterungen anfangs nur Sportergebnisse oder gewöhnliche Tools waren – und später, unter Verwendung derselben Firefox-ID, durch Versionsupdates zu Wallet-Diebstahlprogrammen wurden. Was Nutzer beim ersten Installieren sehen, könnte daher tatsächlich zunächst wie normale Funktionalität wirken.

Das ist das Supply-Chain-Risiko von Browser-Wallets: Du vertraust nicht nur dem Installationspaket, sondern auch dem Veröffentlicherkonto, den nachfolgenden automatischen Updates und den entfernten Inhalten, die nachgeladen werden. Eine einmalige Prüfung von Name und Bewertungen kann zwar zeigen, dass es bei der Installation unauffällig aussieht, aber nicht garantieren, dass es auch nach sechs Monaten noch harmlos ist.

Von den 13 umgebauten Rabby-Erweiterungen werden Keyrings so verändert, dass ihre Inhalte nach außen abfließen, bevor sie lokal verschlüsselt werden. Dieses Detail ist ausgesprochen untypisch: Selbst wenn die Wallet behauptet, „Daten werden lokal verschlüsselt“, kann bösartiger Code, sobald er vor der Verschlüsselung eingeschleust wird, weiterhin Klartext abgreifen.

Mein Vorgehen: Vermögenswerte und Browser trennen. Wallets für häufige Interaktionen bleiben nur mit kleinen Beträgen bestückt; langfristige Bestände werden nicht in alltäglichen Browser-Erweiterungen gespeichert. Außerdem regelmäßig die Erweiterungsliste, den Veröffentlichenden und Änderungen bei den jüngsten Versionen prüfen. Wenn sich Symbol, Berechtigungen oder die Oberfläche plötzlich ändern, zuerst deaktivieren – und nicht sofort wiederherstellende Wiederaufforderungen (Recovery Phrase) eingeben bzw. keine Eile bei der Wiederverifikation.

Der offizielle Shop kann den Aufwand beim Filtern reduzieren, aber er kann dir nicht dauerhaft helfen, die Update-Kette fortlaufend zu verifizieren.

Wie oft prüfst du die Wallet-Erweiterungen in deinem Browser?

Maya Protocol hat gestern MAYAChain pausiert. Offiziell heißt es, dass der Angreifer sechs Schwachstellen ausgenutzt habe, um vorgetäuschte Liquidität zu erzeugen, und schließlich etwa 20 BTC sowie andere Vermögenswerte abgezogen habe. Der geschätzte Schaden beläuft sich auf rund 1,65 Millionen US-Dollar.

Das Wichtigste, woran sich normale Nutzer bei diesem Vorfall erinnern sollten, ist nicht „schon wieder wurde ein Protokoll gehackt“, sondern:

Wenn es bei einem Cross-Chain-Protokoll Probleme gibt, zuerst den Pausestatus prüfen und erst danach Überweisungen oder Swaps in Betracht ziehen.

Mayas Dokumentation ist ganz eindeutig: Bei Netzwerkpause sollten Sie keine Gelder weiter senden; die Oberfläche sollte zuerst den halted-Status prüfen.

Da Cross-Chain-Transaktionen nicht mit einem Klick abgeschlossen sind, durchlaufen sie normalerweise mehrere Schritte: Einzahlung, Bestätigung, Routing und Auszahlung. Wenn zwischendurch eine bestimmte Chain oder ein bestimmter Pool pausiert wird, können die Gelder entweder nur verzögert werden oder in einem Zustand hängen bleiben, der eine manuelle Bearbeitung erfordert.

Vor einer Überweisung nur die Anfangs- und Endadresse zu prüfen reicht möglicherweise nicht mehr.

Eine von Microsoft offengelegte Art von Crypto Clipper überwacht fortlaufend die Zwischenablage und ersetzt die von dir kopierte Wallet-Adresse durch die des Angreifers. Außerdem stiehlt sie Seed-Phrasen, private Schlüssel und sogar Screenshots.

Die praktischste Regel ist: Bei größeren Überweisungen zuerst eine kleine Testzahlung senden und dann auf der Bestätigungsseite der Wallet die Empfängeradresse abschnittsweise prüfen. Gehe nicht davon aus, dass der mittlere Teil auch korrekt ist, nur weil Anfang und Ende ähnlich sind.

Für tägliche Multi-Chain-Vorgänge kannst du Tools wie CatWallet verwenden, um alles zentral zu verwalten. Ob jedoch Gerät und Zwischenablage sicher sind, musst du trotzdem selbst verantworten.

Prüfst du bei der Überweisung die Adresse vollständig – oder nur Anfang und Ende?