Brute Force Attack (BFA)

In der Praxis geht es bei einem Brute-Force-Angriff weniger um cleveres Raten als um rohe Rechenleistung: Eine Software durchläuft Kandidaten-Passwörter, PINs oder Keys mit hoher Geschwindigkeit, mitunter Millionen Versuche pro Sekunde, bis einer davon passt. Die Erfolgschance hängt vollständig von der Größe des durchsuchten Raums ab.

Gegen einen korrekt generierten Private Key einer Kryptowährung ist diese Methode praktisch nutzlos. Ein Standard-Key ist eine 256-Bit-Zahl mit rund 1,16×10^77 möglichen Werten, so groß, dass selbst die schnellsten Supercomputer der Welt weitaus länger als das Alter des Universums bräuchten, um sie vollständig zu durchsuchen. Eine typische 12-Wörter-Seed-Phrase trägt rund 128 Bit Entropie aus der BIP-39-Wortliste, ebenfalls als unknackbar mit heutiger oder absehbarer künftiger Hardware eingestuft.

Reale Verluste, die "Brute-Forcing" zugeschrieben werden, lassen sich fast immer auf fehlerhafte Key-Generierung zurückführen statt auf einen überwundenen vollen Schlüsselraum. Der Vanity-Address-Generator Profanity etwa schöpfte Keys aus einem Pool von nur rund 2^32 möglichen Seeds, klein genug, damit Angreifer Private Keys für die von ihm erzeugten Adressen rekonstruieren konnten, eine Schwachstelle, die später mit einem großen Exchange-Exploit von 2022 in Verbindung gebracht wurde.

Wo Brute Force ein echtes, alltägliches Risiko bleibt, ist beim Kontozugang, nicht bei der Kryptografie: Exchange-Logins, E-Mail und Custodial-Plattformen. Angreifer lassen automatisierte Passwortlisten laufen oder verwenden Zugangsdaten wieder, die aus anderen Datenlecks stammen (Credential Stuffing), und verteilen Versuche oft über viele IP-Adressen, um Rate Limits zu umgehen. Zwei-Faktor-Authentifizierung, Login-Throttling, CAPTCHA-Abfragen und Kontosperren nach wiederholten Fehlversuchen sind die üblichen Gegenmaßnahmen.

Für einzelne Halter besteht der praktische Schutz aus einem einzigartigen, ausreichend langen Passwort für jedes Konto, hardwarebasierter 2FA, wo immer verfügbar, und darin, einen Private Key oder eine Seed-Phrase niemals dort zu speichern, wo ein kompromittiertes Gerät oder ein Phishing-Versuch ihn offenlegen könnte.