Die 90-Tage-Frontend-Probleme bei Ledger und Trezor sind eigentlich ein Kampf um das Vertrauen zwischen den Parteien.

Ledger und Trezor – die beiden größten Hersteller von Hardware-Wallets – bitten Sicherheitsexperten, ihre Erkenntnisse bis zu 90 Tage lang zurückzuhalten, bevor sie veröffentlicht werden. Es handelt sich dabei um eine formale Anforderung – doch in Wirklichkeit ist das nicht der Fall. Für diese beiden Unternehmen ist die Aussage „Ihre Schlüssel sind sicher auf unserem Gerät“ keine Marketingstrategie; es geht dabei um das Produkt selbst. Der Streit darüber, wer diese Information kontrolliert, ist jetzt das zentrale wirtschaftliche Problem im Bereich des Selbstkontrolls.

Neunzig Tage des Schweigens

Am 7. September veröffentlichte Charles Guillemet, der leitende Technologiebeauftragte von Ledger, einen offenen Brief, in dem er die „koordinierte Bekanntgabe von Schwachstellen“ als Standardpraxis in der Branche vorschlug. Nach diesem Modell berichtet ein Forscher die Schwachstelle privat, das Unternehmen bestätigt sie und vereinbart eine zeitliche Einhaltung der Behebungsmaßnahmen. Beide Parteien bleiben still, bis eine Lösung vorliegt.Mit 90 Tagen als BasiszeitraumNur dann kommt eine vollständige Offenlegung zustande. Jan Komarek, der Leiter der Sicherheitsabteilung bei Trezor, unterstützte diese Initiative und fügte eine Fairnessklausel hinzu: Falls der Anbieter den vereinbarten Termin verpasst, hat der Forscher das Recht, den Bericht trotzdem zu veröffentlichen. Auch die beiden kleineren Unternehmen, Foundation und AnchorWatch, die sich auf Bitcoin spezialisiert haben, stimmten zu. Das Muster ist bekannt: Sicherheitsforscher haben darauf hingewiesen…Spiegeln die Deadline von Google Projects Zero-Offenlegung.

Der Brief ist eher keine Veränderung im eigenen Verhalten von Ledger, sondern ein Versuch, die Branche dazu zu bringen, ihn zu übernehmen. Ledgers Bountyprogramm hat seit Jahren eine formelle 90-tägige Koordinierte-Offenlegungspolitik verwendet, zahlt Forschern in Bitcoin aus – und – ein bemerkenswerter Aspekt –Lehnt Berichte, die von KI erstellt wurden und keinen sinnvollen menschlichen Analyseprozess enthalten, ab.Was Guillemet wirklich verlangt, ist eine allgemeine Norm im Industriebereich, die von den Marktführern festgelegt werden soll.

Die Folgen des Befallens mit Wanzen

Der Druck hat eine sofortige Ursache – und es ist erklärend. Ende August veröffentlichte ein Sicherheitsunternehmen, das sich auf KI-Technologien spezialisiert hat, TestMachine, dass „jeder Ledger, der die Ethereum-App nutzt“,…Anfällig für Transaktionssubstitution-AngriffeGuillemet antwortete, dass Ledger das Problem bereits selbst entdeckt und behoben hatte, bevor der Beitrag veröffentlicht wurde. Das Konkurrenzunternehmen OneKey’s Anzen-Team sagte, dass…Der Angriff wurde im Labor gegen eine ältere Softwareversion wiederholt – doch Ledger lehnte ihn ab.Es handelt sich dabei um Tests mit einer veralteten Version des Programms. Guillemet bezeichnete solche vorzeitige Veröffentlichungen als „…“.Die Aufmerksamkeit auf sich ziehen – auf Kosten anderer.."

Das ist keine kleinere Diskussion. Es ereignete sich in einer Situation, in der es um Sicherheitsprobleme bezüglich der Selbstkontrolle ging.Es wird behauptet, dass etwa 4.000 Bitcoin (rund 320 Millionen US-Dollar) aus Blockstreams Liquid-Sidechain entfernt wurden.Eine Verletzung, die mit einem Trezor-Transportdienstleister zusammenhängt – dieser Dienstleister ist gewachsen.Um die Kontaktdaten von etwa 81.000 Kunden offenzulegen.UndBerichte über Diebstähle von Coldcard, die mehr als 100 Millionen Dollar betragen.Für eine Kategorie, deren gesamte Wertvorstellung auf Vertrauen beruht, ist jeder Schlagzeile entweder eine Bestätigung des Vertrauens oder ein Grund für die Anleger, ihre Gelder schnell zu verkaufen – und Betrüger nutzen diesen Panikzustand gerne aus.

Die Wirtschaftsaspekte im Zusammenhang mit der Sicherheit

Wenn man die prozeduralen Sprache weglässt, entsteht eine strukturelle Veränderung. Guillemets eigene Darstellung – dass KI die Sicherheit in ein „Katzen-und-Maus-Spiel“ verwandelt hat – ist genau der Grund, warum eine Frist wichtig ist. Als das Finden von Fehlern langsam und manuell war, waren Forscher eine knappe, wertvolle Ressource. KI macht es nun möglich, Fehler zu finden und sogar auszunutzen – dadurch wird die Zeit zwischen der Entdeckung einer Schwachstelle und deren Ausnutzung verkürzt. Das macht die vorzeitige Veröffentlichung gefährlich: Der Anbieter von Sicherheit muss dann gegen eine Waffe verteidigen, die andere bereits innerhalb weniger Tage entwickeln können. Die 90-tägige Frist dient dazu, dem Anbieter Zeit zu geben, um Lösungen zu finden, bevor diese Waffe tatsächlich existiert.

Aber die Regeln sind nicht neutral. Sie bevorzugen jene, die am schnellsten handeln können. Ledger und Trezor haben vollzeitbeschäftigte Sicherheitsteams und liefern in der Regel innerhalb einer bestimmten Frist. Ein einzelner Forscher, der mit Rufwert als Gehalt bezahlt wird, muss zunächst den Wert an den Anbieter übergeben und dem Prozess vertrauen. Das Modell verwandelt eine „Aufmerksenachfrage“ – bei der die Karriere eines Forschers davon abhängt, der zuerst etwas bekannt macht – in einen strukturierten Prozess, in dem die großen, gut ausgestatteten Unternehmen am besten dastehen, um den Sieg zu erringen. Komareks Löschklausel ist die „Sicherheitsmaßnahme“, die sicherstellt, dass das Geschäft ehrlich abgewickelt wird – doch sie ändert nichts daran, wer die stärkere Position hat.

Das ist wichtig, weil der Wert des Sicherheitsversprechens im Verhältnis zum Hardware-Equipment steht. Das gesamte Geschäft mit Hardware-Wallets sammelt…Im Jahr etwa 500 bis 750 Millionen Dollar.Es handelt sich dabei um Rundungsfehler, die neben dem Wert der Münzen auftreten, die die Menschen diesen Geräten anvertrauen. Der Wallet-Hersteller wird nur beim Verkauf bezahlt – er erhält keine Anteil am Vermögen, das er schützt. Seine Gewinne beruhen daher fast ausschließlich auf der Bereitschaft der Kunden, ihnen zu vertrauen. Die Kosten für den Betrieb beinhalten außerdem eine dauerhafte, von KI gesteuerte Sicherheitskampagne. Der „Schutzmechanismus“ ist nicht der sichere Element-Chip, der aus Massenproduktion stammt – sondern vielmehr die Glaubwürdigkeit der Sicherheitsgeschichte, die Qualität des internen Sicherheitsteams sowie die Verteilung der Lösungen auf Millionen von Geräten.

Keine der beiden Unternehmen ist an der Börse notiert – daher gibt es keine Aktienkürzel, die man beobachten könnte. Was die Anforderungen bieten, ist eine klarere Sicht auf das Konzept der Selbstverwahrung von Werten. Ledger und Trezor nutzen ihre operative Stärke, um die Regeln des Systems zu definieren. Wahrscheinlich sind sie dabei ehrlich: Koordinierte Offenlegung von Informationen kann tatsächlich das Phishing und die Panik verringern, die durch vorzeitige Erwartungen entstehen, und schützt gleichzeitig die Nutzer. Dieser Schritt schützt auch das wertvollste Asset der beiden Marken vor der schnellsten Bedrohung. Die eigentliche Frage für alle, die dieses System betrachten, ist nicht, welche Firma diese oder jene Fehler in dieser Woche gefunden hat. Es geht vielmehr darum, ob irgendeine Hardwareherstellerin das „sichere“ Argument weiterhin glaubwürdig machen kann – zu einem Preis, den die Menschen trotzdem zahlen werden, sobald die KI alle Fehler leicht finden kann. Die beiden Unternehmen, die diese Frage am besten beantworten können, sind diejenigen, die die Regeln des Systems festlegen.