Eines Nachts verliert ein Exchanger den Zugriff auf sein Hot Wallet — Phishing, ein kompromittierter API-Key, egal was genau. Nur eine Frage zählt: Wie viel Geld lag dort? Lautet die Antwort „fast das gesamte Betriebskapital“, ist das Geschäft am Ende. Lautet sie „das Tageslimit“, ist es ein ärgerlicher, aber verkraftbarer Vorfall. Die Balance zwischen Hot Wallet und Cold Wallet ist kein technisches Detail, sondern die wichtigste Verteidigungslinie eines Exchangers.
Warum Wallets überhaupt trennen
Das Hot Wallet ist mit dem Internet verbunden und bedient Kunden automatisch — das ist die Kasse auf der Theke, aus der der Verkäufer Wechselgeld gibt, ohne zum Tresor zu gehen. Das Cold Wallet hängt an keinem Netzwerk: Die Keys liegen auf einem Gerät oder in einem Multisig-Setup, bei dem eine Signatur manuell zusammengestellt wird. Das ist der Tresor im Hinterzimmer, zu dem man erst noch hingehen muss.
Ein Exchanger braucht beides. Ohne Hot Wallet dauert eine Auszahlung Stunden statt Minuten, und Anfragen stauen sich. Ohne Cold Wallet liegt der gesamte Bestand an einem Ort, den theoretisch jeder erreichen kann, der die Serverperimeter durchbricht.
Wie viel im Hot Wallet halten
Einen universellen Prozentsatz gibt es nicht, aber einen praktischen Richtwert: Das Hot-Wallet-Guthaben sollte Auszahlungen für die Spitzenzeit von 24-48 Stunden abdecken, nicht den gesamten Monatsumsatz. Ein Exchanger mit 50.000 $ Tagesumsatz und gelegentlichen Spitzen kann 5.000-10.000 $ im Hot Wallet halten — der Rest bleibt kalt.
Behalten Sie drei Zahlen im Blick: die durchschnittliche Auszahlungsgröße, die maximale Anzahl an Anfragen in der Spitzenstunde und wie schnell Sie das Hot Wallet im Andrangsfall aus dem Cold Wallet nachfüllen können. Dauert das Nachfüllen mit einem verfügbaren Operator nur 15 Minuten, können Sie weniger halten. Zieht sich die Signing Ceremony über einen halben Tag hin, brauchen Sie einen größeren Hot-Puffer — und das ist ein Risiko, das man bewusst eingehen sollte, nicht aus Bequemlichkeit.
Wie Cold Storage in der Praxis funktioniert
In der Praxis ist es selten ein einzelner Tresor, sondern meist ein Multisig-Wallet, das 2-von-3- oder 3-von-5-Signaturen unterschiedlicher Keys braucht, die physisch bei verschiedenen Personen liegen. So kann kein einzelner Mitarbeiter — selbst mit vollem Serverzugriff — die Reserve allein bewegen.
Hardware Wallets fügen eine weitere Barriere hinzu: Der Private Key verlässt das Gerät nie, selbst wenn der angeschlossene Computer infiziert ist. Für einen Exchanger mit einem Umsatz ab mehreren Hunderttausend Dollar im Monat ist Multisig auf Hardware-Keys längst kein Luxus mehr, sondern Grundhygiene.
Wann es Zeit ist, die Balance zu überprüfen
- Der Umsatz hat sich in einem Quartal verdoppelt oder verdreifacht, aber die Hot-Wallet-Limits sind gleich geblieben;
- Kunden beschweren sich zunehmend über Verzögerungen bei Auszahlungen in Spitzenzeiten;
- es gibt kein Log darüber, wer wann Gelder zwischen Wallets bewegt hat;
- die Signing Ceremony für das Cold Wallet macht immer noch eine Person allein statt zwei oder drei;
- Sie haben die Wiederherstellung des Zugriffs auf das Cold Wallet im letzten Jahr kein einziges Mal getestet.
Treffen mindestens zwei dieser Punkte zu, ist es Zeit, das Speicherschema neu aufzusetzen — nicht erst nach einem Vorfall.
Häufige Fehler
Der häufigste Fehler: im Hot Wallet „mit Puffer“ zu arbeiten, um sich um Nachfüllen keine Gedanken machen zu müssen. So wird aus einer Zwei-Tage-Reserve unbemerkt eine Zwei-Wochen-Reserve — bis es zu spät ist.
Der zweite: Cold Storage mit nur einem Key-Halter. Formal ist das gar kein „Cold Wallet“ mehr, sondern nur ein Wallet ohne Internetverbindung: Passiert dieser Person etwas, oder ist sie im unerreichbaren Urlaub, verschwindet der Zugriff auf die Reserve mit ihr.
Fazit
Die Aufteilung zwischen Hot und Cold Wallet funktioniert nur, wenn die Limits mit wachsendem Umsatz mitwachsen, statt einmal festgelegt und dann vergessen zu werden. Exchanger, die eine eigene Storage-Infrastruktur ohne Vermittlungsgebühr wollen, sollten sich iEXWallet ansehen — ein fertiges Krypto-Wallet für Exchanger-Betreiber.
