MPC-Wallets vs. Multisig
MPC-Wallets und Multisig-Wallets versprechen dieselbe Schlagzeile: kein einzelner Kompromittierungspunkt. Beide lösen das ein. Aber sie kommen auf verschiedenen Wegen dorthin, und die Wege haben verschiedene Folgen dafür, was passiert, wenn etwas schiefgeht — der einzige Moment, in dem ein Sicherheitsmodell wirklich zählt.
Dieser Artikel ist das technische Duell. Wenn du zuerst den breiteren Überblick über Eigenverwahrungs-Optionen willst, deckt Optionen der Eigenverwahrung im Vergleich das ganze Feld ab, samt Hardware-Wallets und schlichten Seed-Phrasen.
Zwei verschiedene Antworten auf dasselbe Problem
Das Problem wird in beiden Fällen gleich formuliert: Ein Geheimnis, das alles kontrolliert, ist inakzeptabel — also verteile die Befugnis.
MPC teilt den Schlüssel. Es gibt begrifflich einen privaten Schlüssel, aber er wird nirgends zusammengesetzt. Stattdessen liegen Anteile davon an verschiedenen Orten, und ein kryptografisches Protokoll lässt diese Anteile zusammenwirken, um eine Signatur zu erzeugen, ohne dass eine Partei den ganzen Schlüssel erfährt.
Multisig verlangt mehrere Schlüssel. Es gibt tatsächlich mehrere unabhängige private Schlüssel. Die Adresse kodiert eine Regel — so viele dieser Schlüssel müssen signieren — und die Blockchain setzt die Regel beim Validieren der Transaktion durch.
Die Unterscheidung klingt akademisch. Ist sie nicht. Die eine ist eine Tatsache über Kryptografie, die andere eine Tatsache über die Blockchain. Was die Chain weiß, bestimmt, was passiert, wenn ein Teil des Systems ausfällt.
Wie MPC tatsächlich funktioniert
MPC — Multi-Party Computation, in diesem Zusammenhang meist Schwellensignatur-Verfahren — lässt mehrere Parteien gemeinsam eine Signatur über eine Nachricht berechnen, während jede nur einen Anteil des Signaturschlüssels hält. Das NIST unterhält ein Projekt zur Schwellenkryptografie, wenn du die formale Behandlung willst.
Das Ergebnis ist eine einzelne, gewöhnliche Signatur. On-chain ist die Transaktion einer MPC-Wallet nicht von einer Transaktion zu unterscheiden, die eine Person mit einem Schlüssel signiert hat. Das hat echte Vorteile: Es funktioniert auf jeder Chain, kostet so viel wie eine Einzelsignatur-Transaktion und verrät niemandem, der die Chain beobachtet, etwas über dein Sicherheitsarrangement.
Die Kehrseite genau dieser Eigenschaft verlangt Sorgfalt. Weil die Chain eine normale Signatur sieht, setzt die Chain auch nichts von deiner Richtlinie durch. Wie viele Anteile es gibt, wer sie hält und wie viele mitwirken müssen, sind Tatsachen über die Software und die Server, nicht über das Ledger. Ändere die Software, und du änderst die Richtlinie.
Das Zweite, worauf zu achten ist, ist die Verwahrung der Anteile. Viele MPC-Wallets für Endkunden halten einen Anteil auf der Infrastruktur des Anbieters. Genau das ermöglicht oft die reibungslose Wiederherstellung — und es bedeutet zugleich, dass Fortbestand und Mitwirkung des Anbieters tragende Teile deines Aufbaus sind. Manche Designs entschärfen das gut, mit exportierbaren Anteilen oder unabhängigen Backup-Pfaden. Die Frage ist nicht, ob MPC gut gemacht werden kann; sie ist, ob das konkrete Produkt, das du erwägst, es auf eine Weise getan hat, die du überprüfen kannst.
Wie Multisig tatsächlich funktioniert
Bei Multisig ist die Richtlinie Teil der Adresse. Auf Bitcoin und anderen UTXO-Chains leitet sich die Adresse aus einem Skript ab, das die öffentlichen Schlüssel und die Schwelle benennt; eine Ausgabe ohne genügend gültige Signaturen ist schlicht ungültig, und jeder Knoten im Netzwerk weist sie zurück. Auf Chains mit Smart Contracts entspricht dem ein Konto, dessen Code ohne die verlangten Freigaben nicht handelt.
Niemandem muss vertraut werden, die Regel anzuwenden, denn die Regel anzuwenden ist das, was das Netzwerk tut. Verschwände morgen jede beteiligte Wallet-Software, gälte die Regel weiterhin, und wer die Schlüssel und irgendein kompatibles Werkzeug hat, könnte weiterhin ausgeben.
Die Kosten sind ebenfalls real. Du verwaltest mehrere Schlüssel statt einem, Backups werden komplizierter, und die Transaktion ist größer — auf Bitcoin heißt mehr Signaturen mehr Bytes und eine etwas höhere Gebühr. Deine Richtlinie ist außerdem on-chain sichtbar, was eine Privatsphäre-Erwägung ist: Ein Beobachter kann sehen, dass eine Adresse 2-von-3 ist, auch wenn er nicht sieht, wer was hält.
Was ist Multisig und warum es zählt behandelt das Modell ausführlicher.
Wo SSP genau steht
SSP ist ein 2-von-2-Multisig, aber Ehrlichkeit verlangt hier ein Detail, denn die Umsetzung ist nicht auf jeder Chain identisch.
Auf Bitcoin und den anderen UTXO-Chains ist es natives Multisig auf Skriptebene über BIP-48. Zwei Schlüssel, ein Skript, vom Konsens durchgesetzt.
Auf Ethereum und anderen EVM-Chains gibt es kein entsprechendes natives Skript, also nutzt SSP ein Smart Account, das eine aggregierte Schnorr-Signatur aus beiden Schlüsseln verifiziert. Deine beiden Geräte führen ein MuSig2-artiges Protokoll aus, und die Chain sieht eine Signatur — mechanisch ist das der Form nach näher an MPC als an einem Bitcoin-Multisig-Skript.
Die entscheidende Unterscheidung ist nicht „aggregiert oder nicht“. Es sind diese beiden Tatsachen, die auf jeder von SSP unterstützten Chain gelten:
- Beide Schlüssel werden auf deinen Geräten erzeugt und nur von dir gehalten. SSP hält keinen Anteil, keinen Schlüssel und kein Teilgeheimnis. Es gibt auf unseren Servern nichts, das verloren gehen, beschlagnahmt oder als Faustpfand genommen werden könnte.
- Die Anforderung steht on-chain. Auf EVM autorisiert der Code des Smart Accounts keine Transaktion ohne eine Signatur, die nur deine beiden Schlüssel erzeugen können. Dieser Code ist bereitgestellt, öffentlich und geprüft — er ist keine Richtlinie, die unsere Software anzuwenden beschließt.
Auf Solana ist es ein On-Chain-Programm ohne Ersteller und ohne Admin-Schlüssel, bei dem die Vault-Adresse selbst ein Fingerabdruck aus Mitgliedermenge und Schwelle ist. Anderer Mechanismus, gleiche Garantie.
Wenn dich die Kryptografie der Aggregation interessiert: Schnorr-Signaturen und Multisig-Aggregation erklärt, wie eine Signatur zwei Schlüssel verlangen kann.
Ausfallmodi nebeneinander
Sicherheitsmodelle vergleicht man am besten, indem man fragt, was kaputtgeht.
Ein Gerät ist kompromittiert. Beide Modelle überstehen das. Der Angreifer hat einen Anteil oder einen Schlüssel und kann nicht allein signieren.
Der Anbieter verschwindet. Multisig übersteht das — die Schlüssel und die On-Chain-Regel sind alles, was nötig ist. MPC übersteht es nur, wenn du deine Anteile ohne die Software des Anbieters beschaffen und nutzen kannst, was ganz vom Design abhängt.
Der Anbieter wird zum Handeln gezwungen. Hält ein Anbieter einen Anteil, kann dieser Anteil unter rechtlichem Zwang potenziell herausgegeben werden, und je nach Verfahren reicht das zusammen mit einem weiteren Anteil, um Geld zu bewegen. Hält ein Anbieter nichts — wie bei SSP, wo beide Schlüssel dir gehören —, gibt es nichts zu erzwingen.
Du verlierst einen Schlüssel oder Anteil. Das hängt von der Schwelle ab, nicht von der Technologie. Ein 2-von-3-Aufbau beider Arten verkraftet einen Verlust; ein 2-von-2-Aufbau beider Arten nicht. Was passiert, wenn einer deiner Schlüssel kompromittiert ist geht speziell den SSP-Fall durch.
Die Wallet-Software lügt dich darüber an, was du signierst. Hier hilft kein Modell, und das gehört klar gesagt. Befugnisse zu verteilen schützt vor einem gestohlenen Schlüssel; es schützt nicht davor, die falsche Transaktion freizugeben. Deshalb lautet die interessante Frage für beide Modelle, was deine Geräte vor dem Signieren unabhängig prüfen — die rohe Transaktion dekodieren, statt der Beschreibung eines Servers zu glauben.
Wo jedes gewinnt
MPC gewinnt auf Chains ohne gute Multisig-Primitiven, bei Transaktionsgröße und Gebühren, bei der Privatsphäre des Arrangements und oft bei der Bedienung — besonders bei der Wiederherstellung, wo ein gut gemachtes MPC-Produkt drastisch freundlicher sein kann, als mit mehreren Seed-Backups zu jonglieren.
Multisig gewinnt bei der Überprüfbarkeit. Die Regel steht im Ledger. Du musst keiner Beschreibung des Sicherheitsmodells glauben; du kannst die Adresse oder den Vertrag lesen und die Richtlinie sehen. Es gewinnt auch bei der Unabhängigkeit: Ein Multisig-Aufbau mit Schlüsseln, die du hältst, hat überhaupt kein Unternehmen in seinem Vertrauensmodell.
Es ist kein Widerspruch, für verschiedene Zwecke verschiedene Antworten zu bevorzugen. Ein kleiner Alltagsbestand in einer gut gebauten MPC-Wallet und eine langfristige Position in einem Multisig mit getrennt verwahrten Schlüsseln ist eine völlig stimmige Aufstellung.
Was du fragen solltest, bevor du dich festlegst
Wohin du auch neigst, diese vier Fragen trennen eine starke Umsetzung von einer schwachen.
- Wer hält jeden Schlüssel oder Anteil, und komme ich an alle heran? Enthält die ehrliche Antwort „der Anbieter, und nein“, hast du ein Modell mit Gegenpartei gewählt.
- Was passiert, wenn der Anbieter morgen verschwindet? Es sollte einen dokumentierten Weg ohne ihn geben. Teste ihn, bevor du ihn brauchst.
- Wo lebt die Richtlinie? In einem Skript oder Vertrag on-chain — oder in Software? Beides kann in Ordnung sein, aber nur eines übersteht eine Änderung der Software.
- Was prüft jedes Gerät vor dem Signieren? Ein zweiter Schlüssel bringt nichts, wenn beide Geräte blind signieren, was ein Server ihnen schickt. Multisig-Ausfallmodi und wie SSP sie entschärft geht dies und die übrigen Wege durch, auf denen ein Mehrschlüssel-Aufbau in der Praxis untergraben werden kann.
Wenn du das Modell, auf dem SSP aufbaut, von Grund auf erklärt haben willst, beginne mit was ist 2-von-2-Multisig. Und wenn dich eher die Sorge hergeführt hat, einen Schlüssel zu verlieren, statt die Kontrolle über einen zu verlieren, behandelt Social Recovery vs. Multisig die andere Familie von Antworten.
