ECDSA-Risiko durch KI: Forscher ruft Bunker Mode für Bitcoin aus

Ein Forscher der Ethereum Foundation warnt davor, dass Fortschritte der KI in der Mathematik das Signaturverfahren ECDSA früher brechen könnten als der Quantencomputer. Dieses ECDSA-Risiko durch KI betrifft jede Bitcoin- und Ethereum-Adresse, deren Public Key bereits on-chain offengelegt wurde. Einen nachgewiesenen Angriff gibt es bislang nicht: Was Justin Drake im Oktober 2026 beschreibt, ist ein Worst-Case-Szenario, für das er trotzdem konkrete Vorbereitungen fordert.

Was das ECDSA-Risiko durch KI konkret bedeutet

ECDSA ist das Signaturverfahren auf Basis elliptischer Kurven, mit dem Bitcoin und Ethereum Transaktionen autorisieren. Eine Wallet-Adresse ist ein Hash des Public Keys; der Public Key selbst wird erst bei der ersten Signatur offengelegt. Wäre ECDSA gebrochen, ließe sich aus dem offengelegten Public Key der zugehörige Private Key ableiten – jedes Guthaben auf einer Adresse, von der schon einmal signiert wurde, wäre abräumbar. Adressen ohne bisherige Signatur sind von diesem Angriffsweg nicht betroffen.

Drake definiert „brechen" nicht als theoretische Möglichkeit, sondern als Rückgewinnung eines Private Keys in etwa einer Woche auf verfügbarer Hardware, etwa einem großen GPU-Cluster. Diese Definition und die Details zum Bunker Mode sind in einer ausführlichen Hintergrundanalyse dokumentiert.

Warum gerade elliptische Kurven? Drake hält sie für besonders verwundbar, weil ihre reiche algebraische Struktur – Stichworte Schoof, Frobenius, Pairings – Angriffsflächen bietet. Hashfunktionen seien dagegen gezielt auf die Minimierung algebraischer Struktur ausgelegt. Seine Schlussfolgerung: „Es ist jetzt vernünftig, sich auf die Möglichkeit einzustellen, dass ECDSA vor Q-Day bricht, im schlimmsten Fall in Monaten, nicht Jahren." Die Kernaussage, dass KI noch vor den Quantencomputern zur ernsten Gefahr für die Blockchain-Kryptografie wird, trägt die aktuelle Berichterstattung mit.

Auslöser: 722 Mathematik-Manuskripte eines unveröffentlichten Modells

Auslöser der Debatte war eine Veröffentlichung von OpenAI: 722 mathematische Manuskripte aus rund 20 Teilgebieten, erstellt von einem unveröffentlichten internen Modell, teils mit formalen Beweisen in Lean. Eine unabhängige Überprüfung steht bislang aus; OpenAI hat angekündigt, weitere Lean-Beweise zu veröffentlichen und Review-Programme zu finanzieren. Solche Ankündigungen sind als Herstellerangabe zu lesen, nicht als geprüftes Ergebnis.

Schon die Zahl der Manuskripte ist unsicher: Während 722 genannt wird, ist an anderer Stelle von 372 gelösten Problemen die Rede. Eine belastbare, unabhängige Zählung liegt nicht vor. Diese Lücke ist relevant, weil die gesamte Warnung auf der Bewertung dieser Ausgaben aufbaut.

Für Drake sind die Manuskripte ein Beleg dafür, dass lange als stabil geltende Annahmen fallen: Er nennt die gefallene n·log(n)-Schranke bei der Ganzzahl-Multiplikation, die gefallene 3SUM-Vermutung und die Widerlegung der Erdős-Unit-Distance-Vermutung im Mai. Die Einordnung bleibt entscheidend: Ein Sprachmodell trifft keine Entscheidungen und beweist nichts aus sich selbst heraus – es gibt Text und Beweisvorschläge mit bestimmten Wahrscheinlichkeiten aus, die Menschen prüfen müssen. Die Kausalkette von „722 Manuskripte" zu „ECDSA bricht" ist deshalb bis heute nicht belegt, sondern eine Extrapolation.

Bunker Mode: Was Drake Wallet-Haltern und Börsen empfiehlt

Drakes Antwort auf das Szenario heißt Bunker Mode. Konkret: Guthaben schrittweise auf frische Adressen verschieben, die noch keine Signatur abgegeben haben und deren Public Key damit nicht offengelegt ist. Neue Kryptografie oder neue Wallets braucht es laut Drake dafür nicht. Groß- und erfahrene Halter sollen beginnen; eine überstürzte Migration schade mehr als sie nütze.

Namentlich fordert Drake Binance, Bitbank, Robinhood, Bitfinex und Tether auf, ihre Cold Storages zu härten. Für Signer kritischer Systeme – Oracles und Security Councils von Layer-2-Netzwerken – verlangt er die Rotation von ECDSA-Schlüsseln pro signierter Nachricht, alternativ oder ergänzend Mehrfachsignaturen mit hash-basierten Verfahren wie SPHINCS.

Als Referenz nennt er die „risq list" von Project11, die bereits exponierte Bitcoin-Public-Keys erfasst. Ein Detail mit ausdrücklicher Einschränkung: Drake spricht von rund 20.000 exponierten Adressen, die Bitcoin-Erfinder Satoshi Nakamoto zugerechnet werden, mit je 50 BTC. Wallets unter 50 BTC genössen dadurch einen Teilschutz. Diese Zahl stammt von Drake selbst; eine unabhängige Prüfung liegt nicht vor.

Gegenstimmen: Lindell und Mow halten die Warnung für unbelegt

Die Warnung ist umstritten. Der Kryptografie-Experte Yehuda Lindell (Coinbase) und Samson Mow (Jan3) halten sie für unbelegt beziehungsweise überzogen. Auch institutionell wird die Meldung nicht als eingetretener Schaden geführt: Sie ist ausdrücklich als „AI Hazard" und nicht als „Incident" eingestuft – betroffenes Feld Finanz- und Versicherungsdienste, Schadensart wirtschaftlich/Eigentum. Als Hazard gilt ein Risiko, das sich noch nicht materialisiert hat.

Damit lässt sich die Faktenlage sauber trennen. Nachgewiesener Angriff auf ECDSA: keiner. Unabhängig geprüfte Modell-Ausgaben: keine. Drakes Definition von „brechen" ist eine Annahme, keine Messung. Sein Szenario ist damit derzeit ein theoretisches, kein belegtes. Auch Vitalik Buterin und weitere Ethereum-Forscher warnen vor KI-gestützten Kryptografie-Risiken, was die Debatte innerhalb der Foundation belegt – mehr aber nicht. Zwei Positionen stehen sich gegenüber, ohne dass eine sie empirisch entscheiden könnte. Die Meldung fällt zudem in eine Phase allgemein steigender Diebstahlgefahr für Bitcoin.

Was Admins und IT-Entscheider jetzt tun sollten

Wer Krypto-Infrastruktur oder Treasury-Bestände betreut, sollte nicht auf eine Bestätigung warten, sondern die Vorbereitung von der Panik trennen. Sinnvoll ist ein Inventar aller Adressen, von denen bereits signiert wurde – nur diese sind nach derzeitiger Faktenlage exponiert. Hot-Wallet-Bestände lassen sich begrenzen, ein Migrationsplan für Cold Storages mit Testlauf lässt sich vorbereiten, ohne ihn sofort auszuführen.

Für Signer kritischer Systeme lohnt der Blick auf zwei Maßnahmen: Schlüsselrotation pro signierter Nachricht und Mehrfachsignatur mit hash-basierten Verfahren wie SPHINCS. Beides adressiert nicht nur Drakes Szenario, sondern auch die spätere Post-Quanten-Migration. Genau darin liegt die praktische Lehre: Krypto-Agilität ist die gemeinsame Antwort auf KI-Risiko und Quantenrisiko. Wer heute beweglich wird, muss im Zweifel nicht überstürzt handeln.

Quellen