SLIP-39 vs. geteilte BIP39-Seed-Wörter
Eine häufige Idee:
„Ich teile meine 24 Wörter auf mehrere Orte auf. Dann kann niemand meine Bitcoin stehlen.“
Der Gedanke dahinter ist verständlich. Aber der entscheidende Punkt ist:
Was genau wird verteilt?
Es gibt einen großen Unterschied zwischen:
ein Geheimnis in Stücke schneiden
ein System erzeugen, mit dem ein Geheimnis wiederhergestellt werden kann
Genau hier unterscheiden sich eine einfache BIP39-Aufteilung und SLIP-39.
BIP39: Die Seed Phrase ist das Geheimnis
Bei einer klassischen Bitcoin-Wallet mit BIP39 sind die 12 oder 24 Wörter selbst der Zugang zur Wallet.
Beispiel:
Wort 1
Wort 2
Wort 3
...
Wort 24
Aus diesen Wörtern werden die Wallet-Schlüssel abgeleitet.
Wer die vollständige Seed Phrase besitzt, kann die Wallet wiederherstellen.
Die Seed Phrase ist also nicht nur ein Backup.
Sie ist der Schlüssel.
Die Idee: BIP39-Wörter aufteilen
Viele versuchen deshalb:
Teil A:
Wort 1–8
Teil B:
Wort 9–16
Teil C:
Wort 17–24
Der Gedanke:
„Ein Teil alleine reicht nicht, also ist es sicher.“
Der Unterschied liegt aber darin, was ein einzelner Teil eigentlich ist.
Du hast dein ursprüngliches Geheimnis:
[ DEIN SEED ]
genommen und zerschnitten:
[ Teil A ][ Teil B ][ Teil C ]
Jeder Teil ist ein echter Abschnitt deines ursprünglichen Geheimnisses.
Ein gestohlener Teil ist also nicht einfach ein neutrales Backup-Stück.
Es ist ein Stück deines echten Seeds.
Der Angreifer besitzt damit bereits Informationen über dein eigentliches Geheimnis.
Er braucht zwar weitere Teile – aber er hat schon einen Teil des Schlüssels.
Die Gefahr eines Bruteforce-Angriff steigt somit drastisch an.
SLIP-39: Nicht den Seed zerschneiden, sondern Wiederherstellung erzeugen
SLIP-39 nutzt Shamir’s Secret Sharing.
Hier wird nicht der Seed einfach in Stücke geschnitten.
Stattdessen wird ein Wiederherstellungssystem erzeugt:
Master Secret
↓
SLIP-39 Berechnung
↓
Share A
Share B
Share C
Share D
Share E
Diese Shares sind keine Bruchstücke des Seeds.
Sie sind Bauteile, mit denen das Geheimnis wieder hergestellt werden kann.
Der Unterschied:
Ein einzelnes Bauteil ist nicht die Maschine.
Erst mehrere passende Bauteile zusammen können das System wieder aufbauen.
SLIP-39 Wörter sind nicht deine BIP39-Wörter
Ein wichtiger Punkt:
SLIP-39 verwendet ebenfalls Wörter, aber diese Wörter sind nicht deine bekannten 12 oder 24 Seed-Wörter.
Ein SLIP-39 Share wird ebenfalls als Wortfolge dargestellt, aber diese Wörter kodieren einen mathematischen Share des Geheimnisses.
Es ist nicht:
- „Ein Teil meiner alten Seed Phrase“
sondern:
- „Ein Teil eines mathematischen Wiederherstellungssystems“
Man kann nicht aus einem einzelnen SLIP-39-Share fehlende BIP39-Wörter ableiten.
Beispiel: 3 von 5 Shares
Ein typisches Setup:
3 von 5 Shares
Das bedeutet:
Es gibt 5 Shares
3 beliebige Shares reichen zur Wiederherstellung
Du hast:
Share A
Share B
Share C
Share D
Share E
Du kannst also zwei verlieren und hast weiterhin Zugriff.
Warum ist ein einzelner SLIP-39 Share anders?
Viele denken:
- „Wenn jemand 20 Wörter meines Backups findet, hat er doch schon fast meinen Seed.“
Bei SLIP-39 stimmt diese Vorstellung nicht.
Ein einzelner Share ist nicht:
- ein Stück deines Seeds
sondern:
- ein Bauteil zur Wiederherstellung
Der Share alleine reicht nicht aus.
Der Weg funktioniert:
Geheimnis → Shares
Aber nicht:
1 Share = 1/3 Geheimnis
Erst die notwendige Anzahl Shares zusammen ergibt wieder das ursprüngliche Geheimnis.
Beispiel: Bankschließfach
Angenommen:
Du nutzt ein 3-von-5 SLIP-39 Backup.
Verteilung:
Share A → Bankschließfach
Share B → Zuhause auf Metallplatte
Share C → Notar
Share D → Vertrauensperson
Share E → Reserve
Jetzt passiert das Worst-Case-Szenario:
Das Schließfach ist weg. Irgendjemand hat dein Fach erwischt.
Der Dieb findet:
Share A
Vielleicht denkt er:
- „Perfekt, ich habe die Bitcoin gefunden.“
Kleiner Haken:
Er hat nur ein Bauteil erwischt – nicht den Schlüssel. 🙂
Bei SLIP-39 ist ein einzelner Share nicht der geheime Zugang, sondern nur ein Teil des Wiederherstellungssystems.
Der Angreifer hat also eher ein Lego-Teil bekommen, aber nicht das komplette Set.
Du hast weiterhin:
Share B
Share C
Share D
Share E
Mit drei davon kannst du die Wallet wiederherstellen.
Der wichtige Punkt:
Ein gutes Backup verlässt sich nicht auf einen einzigen Ort.
Auch ein Tresor ist am Ende nur ein physischer Ort.
Aber bei BIP39 braucht der Angreifer doch auch mehrere Teile?
Ja.
Auch bei einer BIP39-Aufteilung braucht ein Angreifer normalerweise mehrere Teile.
Der Unterschied ist aber:
BIP39 geteilt
Der Angreifer bekommt:
- einen Ausschnitt deines echten Geheimnisses
Er besitzt einen Teil des ursprünglichen Schlüssels.
SLIP-39
Der Angreifer bekommt:
- einen Bestandteil eines Wiederherstellungssystems
Er besitzt kein Stück des Seeds.
Der entscheidende Unterschied ist nicht nur:
- „Wie viele Teile fehlen?“
Sondern:
Was stellt ein einzelnes Teil überhaupt dar?
Das Sicherheitsmodell verändert sich
Bei einem normalen BIP39-Backup:
- „Niemand darf meinen Seed finden.“
Bei einem aufgeteilten BIP39-Backup:
- „Niemand darf genug Teile finden. Da die Teile echte Bestandteile der Seed Phrase sind, enthalten gefundene Teile bereits Informationen über das Geheimnis und können den Suchraum reduzieren.“
Bei SLIP-39:
- „Niemand darf genug Shares bekommen.“
Der Angreifer muss mehrere unabhängige Sicherungen kompromittieren.
Bei einem 3-von-5-System müsste er drei Shares bekommen.
Das richtige Threshold-Setup wählen
Das Verhältnis zwischen Shares und benötigten Shares ist wichtig.
Beispiele:
2 von 3
Vorteil:
einfach
ein Verlust verkraftbar
Nachteil:
- zwei gestohlene Shares reichen
3 von 5
Oft ein guter Kompromiss:
zwei Shares können verloren gehen
ein Angreifer braucht drei Shares
5 von 5
Sehr sicher gegen einzelne Verluste?
Nicht wirklich.
Wenn ein Share verloren geht:
Feuer
Wasser
Verlust
ist die Wiederherstellung unmöglich.
Das Backup muss also zur eigenen Situation passen.
Hardware Wallets mit SLIP-39-Unterstützung
SLIP-39 wird besonders von Geräten aus dem Trezor-Ökosystem unterstützt:
Trezor Model T
Trezor Safe 3
Trezor Safe 5
BIP39 bleibt aber der deutlich verbreitetere Standard und wird von mehr Wallets unterstützt.
Nachteile von SLIP-39
SLIP-39 ist nicht automatisch für jeden die beste Lösung.
Nachteile:
weniger kompatibel als BIP39
mehr Planung nötig
man muss sein Backup-Schema kennen
falsches Threshold-Setup kann problematisch sein
Die Sicherheit kommt nicht nur von SLIP-39 selbst, sondern auch von einer sinnvollen Verteilung.
Fazit
BIP39 ist ein Schlüssel.
Wenn du ihn einfach zerschneidest, verteilst du Stücke dieses Schlüssels.
SLIP-39 macht etwas anderes:
Du verteilst nicht dein Geheimnis selbst.
Du verteilst die Bauteile eines Systems, mit dem dein Geheimnis wiederhergestellt werden kann.
Der große Vorteil:
Ein einzelner verlorener oder gestohlener SLIP-39 Share ist nicht automatisch ein gestohlener Teil deines Seeds.
Erst wenn genügend Shares zusammenkommen, entsteht wieder der eigentliche Zugang zur Wallet.
v4v: emeraldmoth11@primal.net
Quellen:
<https://github.com/satoshilabs/slips/blob/master/slip-0039.md>
<https://trezor.io/de/guides/backups-recovery/advanced-wallets/multi-share-backup-on-trezor>