Cold Wallets als Einladung zum Exit Scam?

Am Abend des 9. Dezember 2018 atmet Gerald Cotten ein allerletztes Mal. Die Zeiger auf der Uhr an der Wand des Fortis Escorts Hospital in Jaipur stehen auf 19:26 Uhr. Der dreissigjährige Gründer und CEO der kanadischen Kryptobörse QuadrigaCX erliegt einem septischen Schock – ausgerechnet auf seiner Wohltätigkeitsreise. Ein tragisches, aber natürliches und daher kaum Aufsehen erregendes Ereignis, sind sich Ärzte und Anleger einig.

Was in jener Nacht niemand ahnt: Cottens plötzlicher Tod wird wenige Stunden später das Cold Wallet und mit ihm die gesamte Kryptowelt in ihren Grundfesten erschüttern.

Cold Wallets: Ein notwendiges Übel?

Wallets sind das Portemonnaie beziehungsweise Konto für Bitcoins und andere Kryptowährungen. Die Auswahl ist gross, nicht allen solltest du dein Geld anvertrauen. Und dennoch brauchst du zwingend eines, willst du mit digitalen Währungen Transaktionen tätigen. Hierfür sind die sogenannten Hot Wallets mit dem Internet verbunden. Was wiederum Hacker magisch anzieht, die dir deinen Wallet Key – dein Passwort – und somit dein Erspartes klauen möchten.

Cold Wallets hingegen sind virtuelle Speicherorte, die ohne Netzzugang funktionieren. Die Schlüssel für diese Wallets werden offline gespeichert und sind so vor Cyberkriminellen geschützt – nur du kennst die Keys. Doch diese Sicherheit ist Segen und Fluch zugleich: Wenn sich dein Sargdeckel schliesst, nimmst du im Worst-Case-Szenario nicht nur dein ganzes Vermögen mit ins Grab, sondern öffnest gleichzeitig auch die Büchse der Pandora.

Und mit Cottens Ableben trat Ende des letzten Jahres eben genau jener schlimmste Fall ein.

Bis dass der Tod euch scheidet

Ungefähr eine Woche vor dem Tod des jungen Kanadiers bekamen Kunden dreier kanadischer Banken, welche ihre Überweisungen via QuadrigaCX tätigten, kein Geld mehr. Kurz darauf wurde diese Massnahme zwar wieder aufgehoben, aber nur, um von einem Auszahlungslimit abgelöst zu werden. Sogar bei Neulingen in der Finanzbranche läuten bei solchen News alle Alarmglocken. Das sind klare Anzeichen, dass eine Kryptobörse illiquide und vorübergehend nicht mehr fähig ist, Kundeneinlagen zurückzuzahlen.

Da angeblich nur Cotten im Besitz der Zugriffscodes fürs Cold Wallet der QuadrigaCX war und somit das komplette Firmenvermögen mit ihm verschied, wurden die Anleger skeptisch. Die Info, dass die kanadische Kryptobörse urplötzlich keinen Zugriff mehr auf über 99 Prozent aller Gelder hatte, sickerte bis zum Newsportal Coindesk durch. Eingefrorene Kundengelder, eine zahlungsunfähige Börse sowie deren Chef, der in den Ferien unerwartet verstarb und das gesamte Kapital mit sich nahm – ein gefundenes Fressen für die Medien. Verschwörungstheoretiker hatten, was sie wollten: genügend Indizien für den perfekten Exit Scam.

Ein ungewollt kostspieliges Ende

Das Darknet bezeichnet einen Exit Scam als letztes grosses Ding, das ein Betrüger dreht, um danach mit möglichst viel Beute unterzutauchen. Alle Anzeichen im Fall Cotten deuteten auf einen solchen fingierten Abschied hin. Der von Cottens Ehefrau vorgelegten Sterbeurkunde schenkte niemand Glauben, Profis tippten auf eine Fälschung. Erst, als das Spital, in welches Cotten einen Tag vor seinem Tod eingeliefert worden war, den Tod des Kanadiers offiziell bestätigte, wurde das Gerede etwas leiser. Doch es verstummte nicht.

Denn die Funktionsweise von Kryptowährungen respektive die Tatsache, dass die Blockchain nicht anonymisiert ist, war der Beseitigung letzter Zweifel rund um die Causa Cotten nicht förderlich. Im Gegenteil: Analysten legten mithilfe eigener Einzahlungen und Berichten aus verifizierten Foren diverse Adressen offen, die zur QuadrigaCX gehörten. Durch Wallet Clustering und mit diversen Testtools fanden sie aber nie eine Spur, die auf ein Cold Wallet hindeutete, welches angeblich in die Auszahlungen der Kryptobörse über diese Adressen hätte einfliessen müssen. Die Untersuchungen brachten zudem zu Tage, dass Abbuchungen nicht via eigenem Firmenkapital, sondern über Einzahlungen anderer Kunden getätigt wurden. Auch über dieses Vorgehen, das dem Ponzi- oder Pyramiden-Schema ähnelt, staunten die Finanzexperten.

Ausserdem fanden die Analysten 30 Tage vor Cottens Tod Auszahlungen von QuadrigaCX-Adressen, was laut offizieller Geschehnisse gar nicht mehr möglich gewesen wäre. Aufgrund eines Adress-Clusters, auf den während eines Monats vor dem Tod des CEOs 760 Bitcoins ausbezahlt worden sind, zweifelten Experten auch am Statement, dass die besagte Kryptobörse keinen Zugriff mehr auf ihr Cold Wallet gehabt hätte. Versuchte Cotten, zu verschwinden, um sich nicht mit Problemen an der Börse konfrontiert zu sehen, die sich bereits im Vorjahr angestaut hatten? Denn nicht nur die weiter oben erwähnten Schwierigkeiten mit kanadischen Banken machten dem Financier zu schaffen, auch ein fehlerhaftes Update im Krypto-Client Ethereum führte bereits 2017 zu Zahlungsschwierigkeiten seitens QuadrigaCX.

Bewiesen wurde die Theorie eines Exit Scams des Kryptoprofis aus Kanada nie. Und: im Zweifel für den Angeklagten. Daher müssen Cottens Geschichte und die Medienmitteilung des indischen Spitals genügen. Alles andere werden die derzeit laufenden Gerichtsverhandlungen in einem bis zwei Jahren offenlegen.

Unus pro omnibus, omnes pro uno

Dass Profis wie Cotten und sein Team bei Quadriga CX derart unprofessionell mit Kundengeldern umgegangen sind, lässt die Kryptowährungs-Branche in keinem guten Licht dastehen. Wenn nur der Vorsitzende alleine die Kombination für den Safe zum gesamten Vermögen seiner Firma kennt, zeugt das nicht von grossem Vertrauen den Mitarbeitenden gegenüber und lässt an seiner Personalpolitik zweifeln.

Während ein physischer Tresor mit etwas Zusatzaufwand aufgebrochen und der Geschäftsbetrieb fortgesetzt werden kann, ist dies im Zeitalter von Kryptowährungen eine völlig andere Geschichte. Die Blockchain verzeiht keine Fehler und lässt sich nicht knacken. Ironischerweise ist es aber gleichzeitig auch gerade deren hochgelobte, schonungslose Transparenz, die es schafft, riesige Vermögen spurlos im Nirgendwo verschwinden zu lassen. Selbst wenn Cotten nicht nach Indien gereist und dort verstorben wäre – eine Unachtsamkeit im Strassenverkehr hätte gereicht, um die QuadrigaCX mit ins Verderben zu stürzen.

In the long run, we're all dead

Cottens Fehler war es nicht, ein Cold Wallet zu verwenden. Denn ein Cold Wallet alleine ist noch kein Freipass zum Exit Scam. Die Art und Weise, wie es verwendet wird, jedoch schon. Im vorliegenden Fall hätte ein Multisignatur-Wallet genügt. Es hätte Cotten zwar nicht vor dem Tod bewahrt, aber seine Firma gerettet und allfällige Exit-Scam-Gerüchte zerstreut. Beim Multisignatur-Wallet hätten nebst dem CEO zwei weitere vertrauenswürdige Personen ein Hardware-Wallet wie Ledger Nano S, KeepKey oder Trezor erhalten müssen. Die zum Cold Wallet sonst identische Funktionsweise unterscheidet sich dahingehend, dass mindestens zwei der drei Personen eine Abbuchung visieren müssen. Dieser 2-of-3-Typ des Multisignatur-Wallets verhindert, dass eine One-Man-Show ein ganzes Unternehmen ruinieren kann.

Cotten hat eindrücklich bewiesen, wie viel schnelles Geld mit Kryptowährungen zu machen ist. Er hat innerhalb von fünf Jahren eine eigene Kryptobörse aufgebaut und damit erfolgreich gewirtschaftet. Der entscheidende Fehler unterlief ihm nicht bei einem der vielen komplizierten Prozesse, die das Business mit unregulierten Finanzdienstleistern mit sich bringt. Er schaufelte sich sein eigenes Grab, weil er niemandem vertraute und – wie ein blutiger Anfänger – an den Basics scheiterte: dem Cold Wallet.

Was bleibt, sind offene Fragen: Schoss sich der junge Kanadier aus lauter Fahrlässigkeit selbst ins Knie? Oder hat er es geschafft, die Kryptobühne à la Houdini und mit einem ordentlichen Sackgeld durch den Hinterausgang zu verlassen? Oder wollte er gar all seine Bitcoins in die ewigen Jagdgründe mitnehmen? Die Antworten kennt nur einer: Gerald Cotten.