ColdCard vs. BitBox - Ein Vergleich

ColdCard vs. BitBox - Ein Vergleich

Ursprünglich sollte dieser Artikel „ColdCard vs. BitBox02“ heißen und die beiden Kontrahenten gegenüberstellen. Nachdem ich allerdings beide Hardware-Wallets sehr gut finde, habe ich mich dazu entschlossen, einfach einen Vergleich zu schreiben, der für einige sicherlich interessant sein könnte.

Allgemeines

Beide Hardware-Wallets bieten ein auf ihre eigene Art hohes Maß an Sicherheit. Die ColdCard ist dafür bekannt, keine Verbindung zu einem Rechner zu benötigen, sie kann mit einer Batterie betrieben werden. Die BitBox02 braucht diese, was aber nicht heißt, dass deswegen eine Schwachstelle aufgerissen wird. Hierzu hat sich Shift Crypto, der Hersteller der BB02 etwas Geniales einfallen lassen, nämlich eine sogenannte hardwareseitige Signatur. Während der Einrichtung der BB02 wird ein sogenannter Pairing-Code erstellt, der sowohl auf dem Rechner als auch auf der BB02 bestätigt werden muss. Stimmt dieser Code nicht überein, kann so die USB-Schnittstelle nicht ausgelesen werden. Auf der BB02 kann auch nur von den Entwicklern erstellte Software installiert werden. Die einzige Schnittstelle der ColdCard zu einem Rechner ist über eine MicroSD-Karte. Natürlich kann auch eine Direktverbindung über ein USB-Kabel hergestellt werden, es empfiehlt sich aber gerade bei einer Airgapped-Hardware-Wallet wie der CC darauf zu verzichten.

Punkto Handhabung, vor allem für Anfänger, geht der Punkt mit Sicherheit an die BitBox02. Diese ist sehr einfach und benutzerfreundlich zu bedienen, ohne dass man dabei auf wichtige Funktionen verzichten muss. Wenn es um Funktionen geht, hat die ColdCard hier klar die Nase vorne. Features wie Pin-Eingabe mit Countdown, Selbstzerstörungsmechanismus sind eventuell Dinge, die sich Hardcore-Bitcoiner wünschen. Auch der sogenannte Seed-XOR ist ein top Feature. Dabei handelt es sich um eine Möglichkeit, einen Seed in mehrere Teile zu trennen, die an unterschiedlichen Orten aufbewahrt werden können. Ohne alle Teile zu kennen, kann somit die Wallet nicht wiederhergestellt werden.

Zur Optik der beiden HWs. Während man bei der BitBox02 sich als Unwissender nicht ganz sicher ist, was man vor sich liegen hat, es könnte auch ein USD-Stick sein, kommt man bei der ColdCard auf die Idee, einen Taschenrechner in einer transparenten Hülle vor sich liegen zu haben. Dies ist kein Bug sondern ein Feature 🙂

Apps, Wallets & Handhabung

Die ColdCard bringt von Haus aus keine eigene App und keine Wallet mit, alles läuft rein auf der Hardware-Wallet ab. So wird der Seed komplett offline erstellt, alle Transaktionen werden offline über sogenannte PBST (Partially Signed Transactions)-File erstellt, die man mit Wallets wie Electrum erstellt, mit der ColdCard signiert und danach in das Netzwerk broadcastet. Dieser Weg läuft über die MicroSD-Karte ab. Das klingt umständlich, hat aber natürlich auch seine Vorteile, denn so ist man auf keine Software des Hardware-Wallet-Herstellers angewiesen, sollte dieser einmal nicht mehr existieren. Und natürlich ist genau dass das Hauptargument für eine ColdCard, denn diese braucht keine physische Verbindung zu einem Rechner noch dem Internet.

Ob der Weg über die MicroSD-Karte jetzt wirklich so mühsam ist, ist fraglich. Ich denke, eine Hardware-Wallet sollte eher wie ein Sparbuch angesehen werden, auf das man eh nicht ständig zugreift, sondern eigentlich nur sein Erspartes schiebt. Und für genau diesen Vorgang ist die MicroSD-Karte nicht notwendig. Von daher ist das heiß diskutierte Argument der „umständlichen Handhabung“ vielleicht eh hinfällig.

Anders als die ColdCard bringt die BitBox02 eine eigene sehr übersichtliche App namens BitBoxApp mit. Diese bietet so ziemlich alle wichtigen Funktionen, die man als Bitcoiner braucht. Es steht sogar die Möglichkeit zur Verfügung, alles über das TOR-Netzwerk laufen zu lassen, Coin Control zu aktivieren, eigene Gebühren einzustellen oder die App über einen eigenen Bitcoin Full Node laufen zu lassen. Es fehlt also an nichts, um sichere Transaktionen durchführen zu können, ohne sich dabei auf Dritte verlassen zu müssen, solange man einen eigenen Node nutzt, andernfalls wird der von Shift Crypto genutzt. Man bekommt somit von Shift Crypto ein schönes und vor allem auch sicheres All-Inklusive-Paket.

Anmerkung: Beide Produkte können bereits mit sehr vielen anderen Software-Wallets genutzt werden wie Specter, Sparrow und wie sie alle heißen mögen.

Sicherung und Wiederherstellung

Das Thema Sicherung und Wiederherstellung führte zu einigen heftigen Diskussionen, da die Sicherung der BitBox02 unverschlüsselt auf einer MicroSD landet, während ColdCard auf eine Sicherung setzt, deren Datei durch 12 Wörter verschlüsselt wird. Welche Methode ist nun sicherer? Folgende Argumente sind bei einem unverschlüsselten Backup auf einer MicroSD-Karte natürlich richtig. Erstens ist es in etwa das gleiche, wie wenn man den Seed auf Stahl verewigt oder auf Papier aufschreibt, man muss alles hüten wie seinen Augapfel. Zweitens wird jemand der die MicroSD findet damit nicht allzu viel anfangen können, wie man auf den Screenshots sieht, außerdem fehlt demjenigen im besten immer noch das 25. Wort / Passphrase. Ist ein verschlüsseltes Backup jetzt sicherer? Ein Finder kann die Datei nicht so einfach öffnen kann, ohne die 12 Wörter zu kennen. Der Dateiname selbst – „backup.7z“ verrät auch nicht allzu viel über die Sicherung. Sollte jemand die 12 Wörter finden, wüsste derjenige vermutlich nicht auf Anhieb, dass es sich dabei um die 12-Wörter für ein Backup handelt, sondern würde damit eher versuchen eine Wallet herzustellen. Wichtig dabei ist allerdings, dass man die MicroSD-Karte mit dem Backup und den 12 Wörtern zum Entschlüsseln des Backups an getrennten Orten aufbewahrt, sonst wird die ganze Aktion sinnlos. Es braucht also bei der CC für die Wiederherstellung sowohl die MicroSD als auch die 12 Wörter.

Es gab auch Diskussionen über die Verwendung der MicroSD-Karte bei der ColdCard, die meines Erachtens nicht ganz gültig sind. So wurde oft davon gesprochen, dass man die MicroSD-Karte, auf der sich das Backup befindet, auch für die Offline-Transaktions-Dateien nutzt, was aber falsch ist. Die MicroSD-Karte für das Backup sollte eine eigene sein! Man muss auch darauf achten, dass man hier eine hochwertige MicroSD-Karte nutzt, sogenannte Industrial Grade SD-Karten. Diese sind um einiges hochwertiger und widerstandsfähiger als normale SD-Karten. Diese haben natürlich ihren Preis. Für normale Transaktionen kann durchaus eine normale MicroSD-Karte genutzt werden.

Inhalt der MicroSD von BitBox02

Auch die Bin-Dateien sind nicht wirklich in Cleartext abgespeichert. Hier vielleicht eine kleine Anregung für die Entwickler. Es wäre vermutlich günstig, den Ordner nicht bitbox02 zu nennen, da man damit ziemlich schnell erahnen kann, was sich in diesem Ordner befindet. Klar, für die Wiederherstellung braucht es dennoch einiges, dennoch sollte man da vielleicht darüber nachdenken.

Inhalt der MicroSD von ColdCard

Unter dem Namen backup.7z können sich mit Sicherheit nur die Wenigsten vorstellen, was sich in der Datei befindet.

Anmerkung zum Backup der BitBox02: Falls das Unternehmen warum auch immer die Weiterentwicklung der BB02 einstellen müssen, oder die HW nicht mehr verfügbar sein, so ist bietet das Unternehmen ein Tool an, mit dem man die 24 Wörter aus dem Backup der MicroSD auslesen kann. Diese Wörter können dann für eine Wiederherstellung in eine andere Wallet genutzt werden. Das Tool kann direkt vom Github-Repository heruntergeladen werden.

OpenSource – Diskussionen

Von beiden Herstellern ist der gesamte Code quelloffen und kann auf GitHub eingesehen werden. Auf das sollte man immer achten! Der Code von Shift Crypto – BitBox02 – unterliegt der Apache Lizenz, die besagt:

  • Man darf Software unter dieser Lizenz frei in jedem Umfeld verwenden, modifizieren und verteilen.
  • Eine Kopie der Lizenz (oder der Verweis auf die Lizenz) muss dem Paket beiliegen.
  • Änderungen am Quellcode der unter der Apache-Lizenz stehenden Software müssen nicht zum Lizenzgeber zurückgeschickt werden.
  • Eigene Software, die unter Apache-Lizenz stehende Software verwendet, muss nicht unter der Apache-Lizenz stehen.
  • Die eigene Software darf nur dann Apache heißen, wenn eine schriftliche Genehmigung der Apache Foundation vorliegt.

(Quelle: https://de.wikipedia.org/wiki/Apache-Lizenz)

ColdCard hat vor kurzem eine Änderung eingeführt, die besagt, dass der Code nur für eigene Zwecke modifiziert werden darf. Diese Version darf aber nicht herausgegeben und schon gar nicht kommerziell genutzt werden. Genau das führte in der Community zu einigen Diskussionen, da der Hersteller der ColdCard selbst Code-Teile des Hardware-Wallet-Herstellers Trezor nutzt. Für viele ist es jetzt natürlich ein absolutes No-Go, selbst fremden Code zu nutzen, anderen aber zu verbieten, diesen für Weiterentwicklungen, neue Produkte und so weiter zu nutzen.

# Letzte Gedanken

Beide Hardware-Wallets schenken sich nichts. Sollte man vor der Überlegung einer Anschaffung stehen, sollte man sich Gedanken machen, ob man eine ColdCard mit sehr vielen Funktionen, die einen vielleicht sogar überfordern könnten, und einer vielleicht etwas umständlicheren Bedienung möchte, oder ob man sich für eine einfach zu bedienende und sehr anfängerfreundliche HW wie der BitBox02 entscheidet.