Lehren aus dem Bybit-Hack: Die Signier-UX ist das schwächste Glied von MultiSig

Am 21. Februar verließen rund 1,5 Milliarden $ in ETH und staked-ETH-Token in einer einzigen freigegebenen Transaktion eine der Cold Wallets von Bybit – der größte dokumentierte Kryptodiebstahl aller Zeiten. Die Wallet war eine MultiSig. Jeder erforderliche Signer signierte. Und soweit alle Ermittlungen zeigen, wurde nie ein privater Schlüssel gestohlen. Wenn du aus den Lehren des Bybit-Hacks nur eine mitnimmst, dann diese: Die Kryptografie hielt stand, und das Geld verschwand trotzdem.

Das ist kein Argument gegen MultiSig. Wir bauen selbst eine MultiSig-Wallet, und wir halten das M-von-N-Signieren nach wie vor für den am unabhängigsten überprüfbaren Weg, ernsthafte Mittel zu verwahren. Es ist ein Argument darüber, wo die eigentliche Angriffsfläche liegt. MultiSig verteilt die Schlüsselverwahrung; die Überprüfung verteilt sie für sich genommen nicht. Jede Signatur ist genau so vertrauenswürdig wie das Verständnis, das der Signer von der Payload vor sich hat – und am 21. Februar wurde dieses Verständnis von einem Angreifer fabriziert.

Was wir nach zwei Wochen wissen

Zum Zeitpunkt dieses Textes ergibt das Bild aus Bybits Stellungnahmen, Safes Offenlegung nach dem Vorfall und der öffentlichen Zuschreibung durch das FBI ein stimmiges Ganzes. Bybits Team wollte eine Routineüberweisung von einer Ethereum-Cold-MultiSig auf eine Warm Wallet durchführen und nutzte dafür die Weboberfläche von Safe{Wallet}, die es schon viele Male zuvor verwendet hatte. Jeder Signer sah eine legitim wirkende Transaktion: die vertraute Oberfläche, den erwarteten Ablauf, nichts, was das Muskelgedächtnis unterbrochen hätte.

Was das Quorum tatsächlich autorisierte, war etwas anderes. Die Transaktion veränderte klammheimlich die Smart-Contract-Logik der Wallet selbst und tauschte sie gegen eine Implementierung aus, die der Angreifer kontrollierte. Sobald die echten Signaturen on-chain landeten, gehorchte der Tresor seiner neuen Logik, und rund 400.000 ETH und staked-ETH-Token – damals etwa 1,5 Milliarden $ – flossen ab. Safes Untersuchung führte die Kompromittierung auf einen Entwicklerrechner zurück; der Schadcode wurde über das Front-End ausgeliefert und gezielt auf Bybits Signer gerichtet – für alle anderen verhielt sich die Oberfläche normal. Ende Februar schrieb das FBI die Operation öffentlich der nordkoreanischen Lazarus Group zu, die unter dem Namen TraderTraitor geführt wird.

Zwei weitere Fakten verdienen dasselbe Gewicht. Bybit blieb zahlungsfähig und wickelte während der gesamten Nachwirkungen weiterhin Auszahlungen ab. Und zu keinem Zeitpunkt wurde Schlüsselmaterial extrahiert: Keine Seed Phrase wurde per Phishing erbeutet, kein Signiergerät beschlagnahmt, kein Schwellenwert mathematisch umgangen.

Die Schlüssel hielten stand – und genau das ist der Punkt

Eine MultiSig-Wallet verlangt, dass M von N unabhängigen Schlüsseln eine Transaktion freigeben, bevor Gelder bewegt werden können. Diese Eigenschaft funktionierte am 21. Februar tadellos. Die Signaturen waren echt, das Quorum war legitim, und der Contract führte exakt aus, was signiert wurde. Der Angreifer versuchte nie, die Mathematik zu überwinden; er sorgte dafür, dass das Quorum bereitwillig eine Lüge signierte. Der Bybit-Hack war ein Versagen der Transaktionsüberprüfung, nicht der MultiSig-Kryptografie.

Eine Signatur ist eine Meinung über eine Payload. Wenn die Payload, die du überprüft hast, nicht die Payload ist, die du signiert hast, ist die Zahl der Signer irrelevant.

Die Schlagzeilen, die „Cold Wallet gehackt“ verkünden, übersehen genau diese Unterscheidung – und sie ist wichtig, weil sie entscheidet, was man behebt. Cold Storage erfüllte seine eng umrissene Aufgabe: Die Schlüssel berührten nie einen Online-Rechner. MultiSig erfüllte seine eng umrissene Aufgabe: Kein einzelner Signer konnte allein handeln. Die Komponente, die versagte, ist jene, die fast niemand in sein Bedrohungsmodell schreibt – der Bildschirm.

Blind Signing, genau genommen

Blind Signing bedeutet, eine Transaktion freizugeben, deren wahren Inhalt der Signer nicht eigenständig überprüfen kann. Auf Ethereum genehmigt ein Signer kryptografisch einen Hash strukturierter Transaktionsdaten, nicht die menschenlesbare Zusammenfassung auf dem Bildschirm. Irgendeine Software muss diese Daten zurück in eine Absicht übersetzen – Ziel, Betrag, Contract-Aufruf – und der Signer erbt, was auch immer diese Software behauptet. Lügt die Oberfläche, bestätigt der Mensch eine Fiktion, während die Chain die Wahrheit ausführt.

Die Bybit-Transaktion missbrauchte genau diese Lücke. Ein einziges Feld, das die meisten Oberflächen nicht prominent anzeigen – der Operationstyp – verwandelte eine scheinbare Überweisung in einen delegatecall, der die Logik der Wallet umverdrahtete. Auch Hardware-Signiergeräte schließen die Lücke nicht automatisch: Ein Gerät, das nur einen undurchsichtigen Hash anzeigt, verlangt von einem Menschen, etwas zu überprüfen, das kein Mensch entziffern kann. Das ist Überprüfungstheater, und man kann argumentieren, dass es schlimmer ist als nichts, weil es Vertrauen erzeugt, ohne die Prüfung zu vertiefen.

Ein Front-End, ein Quorum, ein Versagen

Bybits Signer hielten unabhängige Schlüssel auf getrennten Geräten. Doch sie alle überprüften die Transaktion über dasselbe Web-Front-End, sodass eine einzige kompromittierte Oberfläche das gesamte Quorum auf einmal erreichte. Signer-Unabhängigkeit erfordert unabhängige Überprüfungskanäle, nicht bloß unabhängige Schlüssel. Eine 3-of-3-Wallet, deren Signer alle einem einzigen Bildschirm vertrauen, kollabiert praktisch zu einer 1-of-1 – und die „1“ ist, wer auch immer die Oberfläche kontrolliert.

Die Lehre ist schema-unabhängig. MPC-Wallets ersetzen den On-Chain-Contract durch verteilte Schlüsselanteile – die Kompromisse haben wir in MPC vs. MultiSig: ein ehrlicher Vergleich verglichen –, aber ein MPC-Quorum endet an genau derselben Stelle: Menschen, die eine Payload freigeben, die irgendeine Oberfläche für sie gerendert hat. Es sagt auch etwas über die Prioritäten der Branche aus, dass so viel Energie in ferne, exotische Bedrohungen fließt – im Dezember haben wir untersucht, wie weit Quantencomputer noch von Bitcoins Schlüsseln entfernt sind –, während der größte Diebstahl in der Geschichte der Branche überhaupt keine neue Kryptografie erforderte. Er erforderte JavaScript.

Praktische Lehren aus dem Bybit-Hack

Nichts von dem Folgenden erfordert neue Kryptografie oder neue Hardware. Es ist operative Disziplin – und genau deshalb wird es übersprungen.

1. Behandle jeden Signier-Bildschirm als nicht vertrauenswürdig. Die Oberfläche, die deine Transaktion erstellt, wird in dem Moment zum Ziel, in dem dein Guthaben den Aufwand rechtfertigt. Geh davon aus, dass sie dich genau an dem Tag anlügen kann, an dem es am meisten zählt.
2. Überprüfe auf einer zweiten, unabhängigen Fläche. Dekodiere die rohe Transaktion – Ziel, Betrag, calldata, Operationstyp – auf einem Gerät, das nichts mit der Maschine teilt, die sie erstellt hat. Zwei Bildschirme, die identisch lügen, sind ein weit schwierigerer Angriff als ein einzelner Bildschirm, der allein lügt.
3. Verweigere undurchsichtige Payloads. Wenn ein Signer nicht Parameter für Parameter sehen kann, was eine Transaktion tut, ist die richtige Zahl an Signaturen für sie null. „Es ist wahrscheinlich die übliche Überweisung“ – so bewegen sich 1,5 Milliarden $.
4. Begrenze den Wirkungsradius. Adress-Whitelists, Tages- und Monatslimits und getrennte Rollen verwandeln eine schlechte Freigabe in einen gedeckelten statt in einen totalen Verlust. Bybits Verlust war für diesen Tresor total, weil nichts einschränkte, was eine einzige freigegebene Transaktion anrichten konnte.
5. Verlangsame die Routine. Der Angriff war als die gewöhnlichste Operation getarnt, die das Team durchführte, weil gewöhnliche Vorgänge die geringste Prüfung erfahren. Routine ist kein Grund, sich zu entspannen; sie ist das Kostüm, das ein Angreifer wählen wird.

Wie dies das Signieren bei Ownbit prägt

Von den obigen Lehren aus dem Bybit-Hack ist die dauerhafte strukturell: Die finale Überprüfung muss irgendwo stattfinden, wohin die kompromittierte Maschine nicht reicht. Ownbits Cold-Wallet-Workflow ist um genau diese Idee herum gebaut. Ein ausrangiertes Smartphone wird zum air-gapped Signer; das Online-Handy betreibt eine Watch-Wallet, die keine Schlüssel hält, die unsignierte Transaktion erstellt und sie als QR-Code hinüberreicht. Das Offline-Handy zeigt, was es tatsächlich signieren soll, bevor überhaupt eine Signatur existiert, und gibt die Signatur auf demselben Weg zurück. Der QR-Sprung ist bewusst schmal gehalten: Jede Transaktion wird durch eine zweite, unabhängige Fläche gezwungen, und das Gerät, das die Schlüssel hält, lädt niemals die Webseite, die vergiftet sein könnte.

Für Teams wendet Enterprise MultiSig die Lehren zum Wirkungsradius direkt an: Adress-Whitelists, damit Gelder unabhängig davon, wer signiert, kein nicht gelistetes Ziel erreichen können, Tages- und Monats-Ausgabelimits, die Rollen Owner, Signer und Security Admin sowie einen Notfall-Stopp. Diese Kontrollen machen Täuschung nicht unmöglich – nichts tut das vollständig –, aber sie deckeln, was eine einzige manipulierte Freigabe kosten kann.

Und eine ehrliche Anmerkung zu uns selbst. Ownbits Server koordinieren das Signieren, halten aber niemals Nutzerschlüssel; jeder Schlüssel in einer Ownbit-MultiSig ist eine standardmäßige BIP39-Seed-Phrase, und die Wiederherstellung funktioniert ohne unsere Infrastruktur. Minimiertes Vertrauen schneidet in beide Richtungen: Dasselbe Design, das begrenzt, was ein kompromittierter Koordinator dir antun könnte, ist der Grund, warum wir über Bybits schlimmste Woche schreiben können, ohne uns als immun gegen gezielte Angriffe auszugeben. Begrenzter Schaden, nicht behauptete Unverwundbarkeit, ist der Maßstab, an dem man Anbieter messen sollte.

Häufig gestellte Fragen