Eine veränderte Wallet kann deine Coins oder deine Seed an einen Dieb senden und dabei normal aussehen. Den Download zu verifizieren schützt vor Fake-Websites, gehackten Spiegeln und Lookalike-Apps.
Zwei Checks
- Checksum: der SHA-256-Hash der Datei muss der offiziellen Liste entsprechen. Das beweist, dass die Datei nicht verändert oder beschädigt wurde.
- Signatur: die Hash-Liste muss von Personen signiert sein, denen du vertraust. Sonst könnte ein Angreifer Datei und Liste austauschen.
Beispiel: Bitcoin Core
- Lade das Release,
SHA256SUMSundSHA256SUMS.ascvon bitcoincore.org herunter. - Prüfe, dass der Hash deiner Datei in SHA256SUMS vorkommt.
- Nutze GPG, um SHA256SUMS.asc zu prüfen. Das Release ist von mehreren Personen signiert; ihre Schlüssel stehen im guix.sigs-Repository.
Warum viele Signer zählen
Bitcoin Core wird mit Guix reproduzierbar gebaut: unabhängige Builder kompilieren denselben Quellcode und müssen bitgleiche Dateien erhalten. Wenn mehrere Personen dieselben Hashes signieren, musst du keinem einzelnen Entwickler oder Server vertrauen.
Praktische Gewohnheiten
- Tippe Adressen von Wallet-Websites selbst oder nutze Lesezeichen; vertraue keinen Anzeigen oder Suchergebnissen.
- Installiere Mobile-Apps nur über den eigenen Link des Entwicklers zum offiziellen Store.
- Hardware-Wallets: kaufe direkt beim Hersteller und lass das Gerät seine eigene Firmware prüfen.
„Don't trust, verify“ gilt für Software genauso wie für die Blockchain.