Mein Plan Monero sicher zu verwahrenBevor ich Monero kaufe, muss ich klären, wie ich meine Coins überhaupt selbst verwahre. Nachfolgend habe ich meinen Plan aufgeschrieben. Das Ziel ist, eine sichere und für mich praktikable Lösung zu finden, bei der die Hardware uninteressant aussieht und meine Anschrift geschützt bleibt.Hardware-Wallet-Optionen: Meine EntscheidungBevor ich mich für einen Weg entschieden habe, habe ich verschiedene Möglichkeiten geprüft, um Monero selbst zu verwahren:
❶ Gebrauchten Trezor T an Packstation schicken
○ Eine Manipulation der Hardware kann ich vermutlich durch Überprüfung vermeiden.
○ Allerdings schützt diese Variante meinen Namen und Wohnort nur vor der Datenbank des Hardware-Wallet-Herstellers. Der private Verkäufer weis wohin er die Wallet geschickt hat. Auch sieht man der Hardware Wallet sofort an, wofür sie gedacht ist.
❷ Selbstbau XMR-Signer
○ Das Projekt wirkt auf mich noch nicht ausgereift genug (Risiko von Bugs die hoher Zeitaufwand).
❸ Laptop ohne Netzwerkkarte + Persistent Tails USB + Monero-Wallet-CLI + USB zur Datenübertragung
○ Diese Lösung gefällt mir gut, weil die Hardware wertlos aussieht und meine Anschrift verborgen bleibt.
○ Der Nachteil ist die umständliche Handhabung beim Signieren von Transaktionen.
❹ Handy (offline) + Monerujo / Cake Wallet (+ ggf. Übertragung mit QR-Code)
○ Diese Option ist etwas bequemer als die Laptop-Lösung.
○ Die Hardware ist unauffällig und die Anschrift bleibt geschützt.
Ich habe mich für Option 4 entschieden, kombiniere sie aber teilweise mit Elementen aus Option 3, um die Seeds sicher abzuleiten.
TLDR: Meine finale Lösung im ZusammenspielÜberblick über die Puzzle-Stücke in meinem Plan:
● Monero Seed Wörter: Von meinem bestehenden Bitcoin Master-Seed leite ich mit BIP 85 eine Kinder-Wallet ab. Diese Bitcoin-Wörter übersetze ich dann in einen gültigen Monero-Seed. So muss ich nur einen Master-Seed sicher verwahren.
● Monero-Signier-Handy: Ein Google Pixel mit GrapheneOS. Darauf befinden sich F-Droid und die App Sidekick. Dieses Handy bleibt dauerhaft offline. Hier tippe ich meinen Monero-Seed ein, um Transaktionen zu signieren.
● Monero-View-Handy: Ebenfalls ein Google Pixel mit dem Betriebssystem GrapheneOS, dem Appstore F-Droid, sowie den Apps Orbot und Monerujo. Dieses Handy ist über Tor mit dem Internet verbunden. Es enthält nur eine View-only-Wallet, kann also keine Transaktionen ausführen, aber den Kontostand prüfen und Transaktionen erstellen, die dann per Bloototh (QR-Code ist hier [noch?] nicht verfügbar) an das Signier-Handy übertragen werden.
Schritt 1: Betriebssystem GrapheneOS auf den Handys installierenDie Installation von GrapheneOS ist nur mit bestimmten Betriebssystemen und Browsern möglich. Ich bin bei meinem ersten Versuch mit QubesOS und Firefox gescheitert. Daher habe ich mir eine kompatible Umgebung auf einer externen Festplatte eingerichtet.
Schritt 1a: Betriebssystem Debian + Brave Browser auf externer Festplatte installierenBenötigte Hardware:
● 1 USB-Stick
● 1 externe Festplatte (bei mir eine SSD)
Umsetzung:
❶ Lade die Debian 13 ISO von der offiziellen Seite herunter.
https://www.debian.org/download ○ Hinweis: Die Ubuntu-Installations-ISO war bei mir beschädigt, daher habe ich Debian gewählt.
❷ Schreibe die ISO mit einem Tool deiner Wahl auf den USB-Stick.
❸ Boote von diesem USB-Stick und installiere Debian auf deine externe Festplatte.
○ Aktiviere dabei die Laufwerksverschlüsselung.
❹ Boote von der externen Festplatte und installiere den Brave Browser.
https://brave.com/linux/○ Die Installationsanleitung findest du auf der offiziellen Brave-Website.
Schritt 1b: GrapheneOS installierenBenötigte Hardware:
● 2 GrapheneOS-kompatible Android-Handys (z.B. gebrauchte Google Pixel 4a oder Pixel 6 von eBay)
Umsetzung:
❶ Folge der offiziellen Installationsanleitung auf der GrapheneOS-Website.
https://grapheneos.org/install/web❷ Verwende dazu den Brave Browser auf deinem frisch installierten Debian-System.
○ Die Installation funktioniert dann sehr einfach.
Tarnung des Hardware-Wallet-Handys / Private SpaceDamit das Handy auf den ersten Blick nicht als Wallet erkennbar ist, habe ich mir folgende Tarnung überlegt:
❶ Ich verwende eine bunte Silikonhülle für Kinder.
❷ Auf das Handy lade ich Kinderbücher und Hörspiele.
❸ Die sensiblen Apps (Sidekick, Monerujo, Orbot) packe ich in einen Private Space.
○ Der Private Space ist erst ab Android 15 verfügbar.
○ Das Google Pixel 4a hat nur Android 13. Für diese Funktion benötige ich daher mindestens ein Google Pixel 6 oder neuer.
○ Der Private Space ist über die Einstellungen erreichbar und auf den ersten Blick nicht sichtbar.
○ In meinem Fall (Pixel 4a) werde ich die Apps Monerujo und Orbot auf dem Monero-View-Handy nur installieren, bevor ich sie benötige. Auf dem Monero-Signer-Handy bleiben die Apps i.d.R. installiert, weil ich hier ja nur Internet haben werde, wenn alle auf dem Handy eingetippten Seeds keine Verwendung mehr habe.
Internet-Management für das Monero-Signier-HandyDas Signier-Handy betreibe ich ohne SIM-Karte. Wenn es doch einmal eine Internetverbindung benötigt (z.B. für Updates), gehe ich wie folgt vor:
❶ Ich richte auf meinem Normal-Handy einen Hotspot mit einem einmaligen Passwort ein.
❷ Das Signier-Handy verbindet sich mit diesem Hotspot.
❸ Nach der Nutzung ändere ich das Hotspot-Passwort auf dem Normal-Handy zurück.
○ Das Signier-Handy verliert dadurch automatisch die Verbindung und kann sich nicht erneut verbinden.
○ Alternativ könnte ich auch das Passwort im Router ändern, die Hotspot-Lösung ist aber bequemer.
Schritt 2: Apps installierenJetzt kommen die eigentlichen Apps auf die beiden Handys. Ich unterscheide hier zwischen dem Monero-Signier-Handy (offline) und dem Monero-View-Handy (online mit Tor).
Schritt 2a: Apps auf dem Monero-Signier-Handy installieren❶ F-Droid installieren:
○ Öffne den Browser auf dem Signier-Handy.
○ Suche nach "F-Droid", lade die App herunter und installiere sie.
○ Öffne F-Droid.
❷ Monerujo Repository hinzufügen:
○ Öffne den Browser und suche nach: "F-Droid Monerujo Repository".
○ Kopiere den Link:
https://f-droid.monerujo.io/fdroid/repo/○ Öffne in F-Droid die Einstellungen (Settings) und gehe zu "Repositories".
○ Füge den kopierten Link dort ein.
❸ Sidekick installieren:
○ Öffne in F-Droid die Suche.
○ Suche nach "Sidekick", lade die App herunter und installiere sie.
Schritt 2b: Apps auf dem Monero-View-Handy installieren❶ F-Droid installieren: (siehe oben, Schritt 2a)
❷ Monerujo Repository hinzufügen: (siehe oben, Schritt 2a)
❸ Monerujo installieren:
○ Öffne in F-Droid die Suche.
○ Suche nach "Monerujo", lade die App herunter und installiere sie.
❹ Guardian Repository für Orbot hinzufügen:
○ Öffne den Browser und rufe
https://guardianproject.info/fdroid/ auf.
○ Öffne in F-Droid die Einstellungen (Settings) und gehe zu "Repositories".
○ Scanne den dort angezeigten QR-Code mit deinem Handy.
❺ Orbot installieren:
○ Öffne in F-Droid die Suche.
○ Suche nach "Orbot", lade die App herunter und installiere sie.
○ Öffne Orbot und verbinde dich mit dem Tor-Netzwerk.
○ Manchmal verliert Orbot die Internet Verbindung. Ich starte hier das Handy neu.
❻ Monerujo für Tor einrichten:
○ Öffne Monerujo.
○ Stelle die Internetverbindung auf Tor um. Das erkennst du am roten Symbol unter "Network" und bei den Wallets.
○ Entferne alle Nicht-TOR-Server aus den Favoriten (klicke dazu auf die Herzen).
Schritt 3: Wallets ladenJetzt, wo alle Apps installiert sind, erstelle ich die eigentlichen Wallets. Das Signier-Handy bleibt dabei offline.
❶ Internet trennen: Prüfe auf dem Monero-Signier-Handy, dass die Internetverbindung getrennt ist.
❷ Wallet auf dem Signier-Handy wiederherstellen:
○ Öffne die App Sidekick.
○ Tippe auf das (+) Symbol und wähle "Restore wallet 25 word seed".
○ Gib deinen 25-Wörter-Monero-Seed ein.
○ Öffne die Wallet.
❸ View-only-Wallet auf dem View-Handy erstellen:
○ Öffne Monerujo auf dem View-Handy.
○ Verbinde die App mit Sidekick über das Symbol rechts oben.
○ Wähle "(+) Restore from sidekick".
○ Die View-only-Wallet wird automatisch aus der Sidekick-App erstellt.
○ Beim Versenden von Monero wird die Transatkion zur Signierung an das Signer-Handy geschickt und dort wie auf einer Hardware-Wallet bestätigt und an das View-Handy zurückgeschickt.
Meine Strategie: Monero sicher erstellen und aufteilenDamit ich nicht alle meine Monero in einer Wallet verliere, teile ich den Gesamtbetrag auf mehrere Seeds auf. Jeder Seed hat für mich eine Wert-Obergrenze.
Beispiel: Ich möchte 14.000 EUR in Monero sparen. Meine Wert-Obergrenze pro Seed ist 5.000 EUR. Ich erstelle also drei Monero-Seeds mit 5.000 + 5.000 + 4.000 EUR.
Erstellen einer Wallet mit Tails/QubesUmsetzung:
❶ Vorbereitung in Qubes:
○ Ich öffne meine Bitcoin-Karte, das ist eine Übersicht über alle Orte / Personen / Datenträger / Wallets im Zusammenhang mit selbst verwahrten Vermögensgegenständen / Daten / Backups.
○ Reserviere mit einer Restore-Date eine zusätzliche BIP 85 Ableitung für Monero.
❷ Bitcoin Kinder-Seed ableiten:
○ Von meinem Bitcoin Master-Seed leite ich mit BIP 85 ein (oder mehrere) Bitcoin Kinder-Seeds ab.
❸ Tails starten:
○ Starte einen alten Laptop ohne Netzwerkkarte mit Tails.
○ Verwende keinen persistenten Speicher.
❹ Veracrypt-Laufwerk öffnen:
○ Ich öffne mein Veracrypt-Laufwerk.
○ Kopiere
(i) die Monero-Ableitung (offline! aus Quelle:
https://microbitcoinorg.github.io/mnemonic/) und
(ii-a) feather-wallet oder
(ii-b) die entsprechende (offline! aus Quelle:
https://xmr.llcoins.net/)
nach "home/Tor browser".
❺ Monero-Seed ableiten:
○ Entferne das Veracrypt-Laufwerk.
○ Leite mit (i) von den Bitcoin Kinder-Seedwörtern die Monero-Seedwörter ab.
○ Leite mit (ii-a) oder (ii-b) die Empfangsadresse und den View-Key ab.
❻ Adresse notieren:
○ Schreibe die Empfangsadresse und den View-Key auf ein Papier.
○ Fahre Tails herunter.
❼ View-only-Wallet erstellen:
○ Erstelle in einer Qubes + Whonix VM eine View-only-Wallet mit den notierten Daten.
○ Vernichte das Papier.
❽ Wiederholung:
○ Führe die Schritte 2 bis 7 ein zweites Mal durch, diesmal mit (ii-b) statt (ii-a). So erhalte ich neben Wallet XXXa auch Wallet XXXb.
❾ Test:
○ Überweise einen kleinen Betrag auf die neue Wallet.
○ Prüfe, ob diese Transaktion sowohl in Wallet XXXa als auch in Wallet XXXb sichtbar wird.
○ nach bestandenem Test kannst du einen großen Betrag auf diese XXX Wallet überweisen
Monero versenden mit Tails / GrapheneOSWenn ich Monero versenden möchte, laufen die Schritte wie folgt ab:
❶ Empfangsadresse vorbereiten:
○ Kopiere in Qubes die Monero-Empfangsadresse in einen Tutanota-Emailentwurf.
○ Öffne die Bitcoin-Karte und prüfe den BIP 85 Ableitungspfad und die Restore-Date.
❷ Bitcoin Kinder-Seed ableiten:
○ Von meinem Bitcoin Master-Seed leite ich mit BIP 85 einen Bitcoin Kinder-Seed ab.
❸ Tails starten:
○ Starte einen alten Laptop ohne Netzwerkkarte mit Tails.
○ Verwende Tails ohne persistenten Speicher.
❹ Veracrypt-Laufwerk öffnen:
○ Öffne mein Veracrypt-Laufwerk.
○ Kopiere (i) die Monero-Ableitung auf Tails.
❺ Monero-Seed ableiten:
○ Entferne das Veracrypt-Laufwerk.
○ Leite mit (i) von den Bitcoin Kinder-Seedwörtern die Monero-Seedwörter ab.
❻ Wallet im Signier-Handy wiederherstellen:
○ Öffne Sidekick auf dem GrapheneOS-Handy ohne Internet.
○ Erstelle auf Basis der 25 Monero-Seedwörter eine Wallet.
❼ Wallet im View-Handy vorbereiten:
○ Verbinde das View-Handy per Orbot mit dem Internet (Tor).
○ Prüfe, ob die Internetverbindung funktioniert (sonst Neustart).
○ Öffne Monerujo und verbinde es per Bluetooth mit Sidekick.
○ Erstelle hier die Wallet und warte, bis sie synchronisiert ist.
❽ Transaktion senden:
○ Kopiere die Empfangsadresse aus Tutanota in Monerujo.
○ Sende die gewünschte Menge Monero.
☞ Fazit: Diese Kombination aus offline Signier-Handy, online View-Handy und einer Ableitung über BIP 85 von einem Bitcoin Master-Seed gibt mir ein hohes Maß an Sicherheit und Privatsphäre. Die Hardware ist unauffällig und im Falle eines Verlusts des Signier-Handys kann ich die Wallet über meinen Bitcoin Seed wiederherstellen.
