Stell dir vor, jemand klaut dir Millionen. Und schreibt dir dann eine Nachricht: Zahl uns ein Lösegeld, sonst ist alles für immer weg. Die meisten würden ins Schwitzen kommen. Verhandeln. Vielleicht zahlen. Eine Firma hat vergangene Woche einfach zurückgeschrieben: Nein. Seitdem liegen 47 Millionen Dollar auf der Adresse der Diebe und rühren sich nicht. Wie das zusammenhängt, erzählt eine Menge darüber, wie Bitcoin wirklich funktioniert, und räumt nebenbei mit einem der größten Irrtümer über diese Technologie auf.
Der Reihe nach. Am Sonntag zogen Angreifer rund 4.000 Bitcoin aus dem Liquid-Netzwerk ab, einer Bitcoin-Sidechain der Firma Blockstream. Rund 320 Millionen Dollar. Ein Fehler in der Software ließ sie Guthaben erzeugen, das durch nichts gedeckt war, und dieses dann gegen echte Bitcoin aus den Reserven tauschen.
Am Montag passierte etwas Ungewöhnliches. Die Angreifer schickten 3.400 Bitcoin zurück, von sich aus, ohne dass jemand verhandelt hätte. 85 Prozent der Beute, einfach wieder da. Erst am Mittwoch kam die Forderung: zehn Prozent der Summe, als „Bug Bounty“, wie sie es nannten. Für die restlichen 598 Bitcoin. Am Freitag antwortete Blockstream öffentlich. Wer sich fremdes Vermögen nimmt und die Rückgabe verweigert, begehe eine Straftat und keine verantwortungsvolle Sicherheitsmeldung.
Man hört ja ständig, Bitcoin sei das perfekte anonyme Geld für Kriminelle. Das exakte Gegenteil ist wahr. Jede einzelne Bitcoin-Transaktion steht in einem riesigen, öffentlichen Kassenbuch, das jeder auf der Welt einsehen kann und das sich niemals löschen lässt. Die 598 Bitcoin, die noch fehlen? Die sind darin markiert wie mit Leuchtfarbe. Jeder kann zusehen, auf welcher Adresse sie liegen. Jeder sieht sofort, wenn sie sich bewegen. Die Diebe sitzen auf einem Haufen Geld, den sie praktisch nirgendwo ausgeben, tauschen oder auch nur verschieben können, ohne dass die ganze Welt zuschaut.
Damit war die Forderung von Anfang an ein stumpfes Messer. Was nützt dir Beute, die du nicht loswirst? Blockstream konnte es sich leisten, Nein zu sagen. Nicht weil die Firma die 598 Bitcoin schon zurückhätte, die fehlen bis heute, sondern weil Zeit und Sichtbarkeit gegen die Täter arbeiten. Die Firma hat angekündigt, Strafverfolger, Börsen und Blockchain-Ermittler einzuschalten. Das Geld liegt derweil unbewegt da.
Ausgerechnet die Eigenschaft, die Bitcoin-Kritiker gern als Schwäche oder Gefahr darstellen, nämlich dass dort alles offen und öffentlich abläuft, ist hier das Druckmittel. Wäre das Diebesgut ein Koffer voller Bargeldscheine gewesen, wäre es längst weg und unauffindbar. Bei einer normalen Überweisung über verschleierte Auslandskonten hätte man womöglich ewig gebraucht, um die Spur zu verfolgen. Bei Bitcoin liegt die Spur offen da, für alle sichtbar, und sie verschwindet nie.
Man muss die Sache nicht romantisieren. Der Diebstahl war ein Angriff auf eine technische Schwachstelle, und solche Angriffe wird es immer wieder geben, kein System ist unverwundbar. Die Angreifer nannten ihr Vorgehen übrigens selbst „White Hat“, also die Arbeit wohlmeinender Sicherheitsforscher — während sie Lösegeld für fremdes Eigentum verlangten. Das ist die Sorte Etikett, bei der man genauer hinschauen sollte.
Gestohlenes Bitcoin ist eben nicht dasselbe wie gestohlenes Bargeld. Es trägt seine gesamte Geschichte für immer sichtbar mit sich herum. Genau deshalb konnte hier jemand, dem Millionen geraubt wurden, den Erpressern ein einziges Wort entgegnen: Nein. Die 598 Bitcoin liegen immer noch da. Jeder kann sie sehen. Niemand kann sie ausgeben.