Krypto gestohlen nach Kopie der Seed-Phrase durch Reinigungskraft

Der Krypto-Diebstahl, der kein Hacken erforderte

Wie leert man eine Cold Wallet, ohne den Ledger anzufassen? Indem man die 12 Wörter kopiert. Ein Investor erzählt in einem Krypto-Forum, dass sein Vermögen in Bitcoin und anderen Währungen gestohlen wurde, nachdem jemand seine Seed-Phrasen zwischen Büchern auf dem Nachttisch gefunden hatte. Laut seiner Rekonstruktion war die Täterin wahrscheinlich die Reinigungskraft, die anderthalb Monate zuvor eingestellt worden war und nie ahnte, dass diese Zettel einen Wert hatten. Das Opfer gibt offen zu: Er hatte die Seeds zweier Ledger Nano im Schlafzimmer, für jeden zugänglich, der das Haus betrat.

Dieser Fall entlarvt die Fantasie des Hardware Wallets als unfehlbaren Tresor. Das Gerät verschlüsselt die Schlüssel, aber die dahinterliegende Seed-Phrase ist nur Papier. Wenn jemand sie fotografiert, kopiert oder mitnimmt, dient der Ledger genau so viel wie ein Briefbeschwerer. Das Opfer gibt zu: „Wofür waren dann noch Ledger, Google Authenticator und all das gut?“

Was ist eine Seed-Phrase und warum ändert sie alles

Die Seed-Phrase ist eine Sequenz von 12 oder 24 Wörtern, die es ermöglicht, eine Krypto-Wallet auf jedem kompatiblen Gerät wiederherzustellen. Wer sie hat, besitzt die Coins. Kein Passwort schützt sie, keine 2FA stoppt sie, keine Bank kann die Transaktion rückgängig machen. Das Opfer hatte seine Mittel auf zwei Ledger Nano verteilt, plus Positionen bei Kraken und Solflare, und bemerkte den Diebstahl in allen Bereichen.

Die Zwei-Faktor-Authentifizierung, oft als letzte Verteidigungslinie betrachtet, nützte nichts. Nicht weil sie versagte, sondern weil der Angreifer nicht in die Konten eindringen musste. Mit der Seed-Phrase lässt sich die Wallet auf einem anderen Gerät rekonstruieren und die Mittel bewegen, ohne Kontrollen zu passieren. Das Opfer fasst bitter zusammen: „Ich konnte dafür keinerlei Erklärung finden.“

Die einfachste Hypothese: Die Haushaltsangestellte

Seine wahrscheinlichste Theorie deutet auf die Frau hin, die anderthalb Monate vor dem Diebstahl begann, sein Haus zu reinigen. Die Seeds lagen zwischen Büchern auf dem Nachttisch, ein Versteck, das er für sicher hielt, da er allein lebte und niemand sonst ins Haus kam. Als die Reinigungskraft kam, vergaß er, dass diese Papiere noch dort lagen.

Der Verdacht wird durch ein häusliches Detail verstärkt: Die Bücher schienen durcheinandergebracht. Er glaubt nicht, dass die Frau wusste, was das war, vermutet aber, dass sie es jemandem aus ihrem Umfeld erwähnt haben könnte, der es verstand. „Sie ist mit Freunden von mir befreundet, und einer davon ist sehr geschwätzig“, merkt er an. Eine alternative Hypothese, besprochen mit einem örtlichen Hostel-Betreiber, involviert einen Freund, der seine Bestände kannte. Keines der Szenarien ist bewiesen.

Anzeige, Anwältin und ein zusätzliches Problem: Das Finanzamt

Das Opfer erstattete schließlich Anzeige. Der Ausgang war nicht wie erwartet: Laut seinem Bericht brach die Reinigungskraft in Tränen aus, leugnete die Vorwürfe und drohte, ihn wegen Belästigung anzuklagen. Er behauptet, alles sei aufgezeichnet und seine Frau sei anwesend gewesen. „Das Letzte, was ich wollte, war, bei der Polizei zu landen“, gibt er zu.

Der Fall deckt eine unbequeme Seite für jene auf, die mit Kryptowährungen abseits des Steuer-Radars operieren. Das Opfer räumt ein, dass es „enorme Arbeit gekostet habe, alles anonym zu kaufen“, und fürchtet nun, dass dies ans Licht kommt. Im Forum wird angemerkt, dass Bestände in Self-Custody-Wallets nicht deklariert werden müssen, aber ausländische Exchange-Konten über 50.000 Euro sind mittels Formular 721 (spanische Steuererklärung für Auslandsvermögen) bis zum 31. Dezember anzumelden. Die Linie zwischen Privatsphäre und Steuerproblemen ist dünner, als es scheint.

Was tun, wenn die Seed bereits kopiert wurde

Kurze Antwort: Fast nichts. Ohne Beweise, dass jemand die Seed kopierte, ist der strafrechtliche Weg eine Sackgasse. Das Tracking auf der Blockchain kann identifizieren, wohin die Mittel flossen, aber wenn der Angreifer sie zu einer Identitäts-verifizierten Exchange bewegt, verbessert sich die Rückverfolgbarkeit; wenn er sie streut, wird es kompliziert. Die wiederholte Empfehlung lautet, Anzeige zu erstatten und auf einen Fehler des Diebes zu warten.

Im präventiven Bereich sind die genannten Maßnahmen gesunder Menschenverstand: Teilen der Seed in Fragmente an verschiedenen Orten speichern, sie in verworrener Reihenfolge notieren, auf Metallplatten gravieren oder Multisig nutzen. Manche schlagen vor, sie auf Seite X eines Buches zu verstecken und nur die Seitenzahl sichtbar zu lassen. Alles, außer sie zwischen Nachttischbüchern liegen zu lassen.

---

Die Sarracena ist unbequem: Die Sicherheit der Self-Custody hängt nicht vom Gerät ab, sondern von der Diskretion des Nutzers. Und anders als der Ledger kommt Diskretion nicht in der Box.