Wie Tangem Entropie für private Schlüssel erzeugt

Im Seedless-Modus beziehen Tangem Wallets die Entropie aus dem Hardware-True Random Number Generator (TRNG) im Secure Element, zertifiziert nach dem deutschen BSI PTG.2 (AIS 31) Standard.


Wenn du stattdessen eine Seed-Phrase verwendest, wird die Entropie durch geprüfte Zufallszahlengeneratoren erzeugt:

• In Android nutzen wir SecureRandom, einen kryptografisch sicheren Pseudozufallszahlengenerator (CSPRNG). Die Ausgabe gelangt über BoringSSL/Conscrypt in den Entropie-Pool des Kernels. Dieser Pool wird durch Interrupt-Timings, Sensoren und den Hardware-TRNG des SoC gespeist. Dadurch kann ein Angreifer dein Schlüsselmateriel weder vorhersagen noch rekonstruieren.
   
• In iOS verwenden wir die systemeigene SecRandomCopyBytes-API, die kryptografisch sichere Zufallsbytes für die Schlüsselerzeugung liefert. Die Entropie stammt hier aus dem hardwarebasierten TRNG der Secure Enclave.
   

Was ist Entropie in einer Krypto-Wallet?

Entropie ist die reine Zufälligkeit, die eine Wallet zur Erstellung eines privaten Schlüssels nutzt. Sie wird in Bits gemessen – je mehr Bits, desto größer der Raum möglicher Schlüssel.

Eine Wallet erzeugt Entropie einmalig beim Einrichten. Jeder darauf folgende Schlüssel, jede Adresse und jede Signatur werden durch feste mathematische Regeln abgeleitet – es kommt keine neue Zufälligkeit hinzu.

Dadurch ist der Generierungsschritt dauerhaft. Ist die Entropie zu gering, lässt sich die abgeleitete Mnemonic nicht nachträglich absichern.
 

Wie viel Entropie braucht ein privater Schlüssel?

Ohne ausreichende Entropie kann ein Angreifer Muster oder Schwächen im Erzeugungsprozess ausnutzen und den Schlüssel deutlich effizienter erraten als durch reines Durchprobieren aller Möglichkeiten. 

Ein privater Schlüssel muss für jeden Angreifer vollkommen zufällig erscheinen; geringe Entropie verkleinert den effektiven Suchraum drastisch und macht ein eigentlich unlösbares Problem mit genug Rechenleistung oder cleverer Analyse plötzlich lösbar.

In der Praxis stammt diese Zufälligkeit aus hochwertigen Entropiequellen, die einen kryptografisch sicheren Zufallszahlengenerator speisen. Ist die Quelle schwach (z. B. Zeitstempel, Prozess-IDs oder zu wenig Systemrauschen), kann der erzeugte Schlüssel versteckte Strukturen aufweisen.

Genau solche Schwächen wurden in realen Vorfällen ausgenutzt, etwa als Bitcoin-Private-Keys von Geräten mit schlecht initialisierten RNGs wiederhergestellt wurden. Die effektive Entropie sank dabei auf bis zu 32 Bits, was Massen-Diebstähle ermöglichte.

Ausreichende Entropie stellt sicher, dass die Sicherheit des Schlüssels der Stärke des verwendeten Algorithmus entspricht. Bei elliptischen Kurven wie secp256k1 (verwendet in Bitcoin und vielen anderen) bietet die Kurve etwa 128-Bit-Sicherheit gegen mathematische Angriffe – der private Schlüssel braucht also mindestens so viel Entropie, um nicht zur Schwachstelle zu werden.

Wie erzeugt Tangem Entropie im Seedless-Modus?

Im Seedless-Modus erzeugt die Tangem Card den privaten Schlüssel direkt im Secure-Element-Chip. Der Chip enthält einen Hardware-True Random Number Generator, der Zufälligkeit aus physikalischen Prozessen wie thermischem Rauschen und Oszillator-Jitter gewinnt. So läuft der Prozess im Detail ab:
 

Schritt 1: Der TRNG misst physikalisches Rauschen. 

Der Hardware-TRNG zieht Entropie aus unvorhersehbaren Schwankungen im Silizium, darunter thermisches Rauschen auf Transistorebene, elektronisches Rauschen durch Quanteneffekte und Jitter im Takt von Hochfrequenzoszillatoren. Das Ergebnis ist ein Rohdatenstrom mit Bias und Korrelation.
 

Schritt 2: Aufbereitung entfernt das Bias. Der TRNG wendet einen Konditionierungs-Algorithmus an, etwa einen kryptografischen Hash oder ein Whitening, um Muster zu entfernen und eine gleichmäßige Verteilung über alle Werte zu erreichen. Zusätzlich laufen fortlaufende Gesundheitstests; bei Problemen stoppt der Prozess. Diese Schritte erfolgen mit einer CC EAL-zertifizierten Bibliothek, die während der Zertifizierung streng geprüft wird, mit dem Chip ausgeliefert und nie verändert wird.
 

Schritt 3: Der Chip extrahiert 256 Bits. Aus dem konditionierten Output wird eine 256-Bit-Sequenz entnommen – ein Kandidat für den privaten Schlüssel, nicht mehr.
 

Schritt 4: Der Chip prüft den Kandidaten gegen die Kurvenordnung. Ein elliptischer Kurven-Schlüssel muss ein gültiger Skalar im erlaubten Bereich sein. Für secp256k1 bedeutet das: eine Ganzzahl zwischen 1 und n-1, wobei n die Ordnung des Basispunkts ist und knapp unter 2^256 liegt.

Ein Kandidat mit Wert 0 oder ≥ n ist ungültig. Der Chip verwirft ihn und zieht neu – die Wahrscheinlichkeit dafür liegt bei etwa 2^-128.
 

Schritt 5: Der Wert wird zum Master-Key. Das ist der Schritt, der das Verfahren seedless macht: Die 256 Bits gehen direkt als Master Private Key in die Key-Hierarchie – ohne Mnemonic. 

Schritt 6: Der Chip berechnet den Public Key. Der Public Key entsteht durch Multiplikation des Private Keys mit G, dem Generatorpunkt von secp256k1 – eine Einbahnstraße, nicht umkehrbar.

Schritt 7: Adressen werden aus Public Keys abgeleitet. Bei Bitcoin wird der komprimierte Public Key auf einem bestimmten Pfad erst durch SHA-256 und dann durch RIPEMD-160 gehasht, um einen 20-Byte-Hash zu erhalten. Die Kodierung dieses Hashes legt den Adresstyp fest.

Ein Schlüssel auf einem BIP-84-Pfad wird zu einer P2WPKH-Adresse mit bech32-Encoding. Ein Schlüssel auf einem BIP-44-Pfad wird zu einer P2PKH-Adresse mit Base58Check-Encoding. Die beiden Pfade liefern unterschiedliche Schlüssel und damit verschiedene Adressen.
 

Schritt 9: Der Private Key bleibt im geschützten Speicher. Der Private Key verbleibt während seiner gesamten Lebensdauer im Secure-Element-Chip. Der Chip signiert Transaktionen intern und gibt nur die Signatur aus – der Schlüssel verlässt nie das Handy, die App oder das Internet.
 

Wie erzeugt Tangem Entropie für Seed-Phrases?

Im Seed-Phrase-Modus generiert die Tangem App die Mnemonic direkt auf dem Smartphone. Die App fordert Zufallsbytes vom kryptografischen Zufallszahlengenerator der Plattform an – auf iOS ist das SecRandomCopyBytes, auf Android SecureRandom.

Beide Schnittstellen sind kryptografisch sichere Pseudozufallszahlengeneratoren. Sie werden jeweils mit Entropie aus dem Betriebssystem-Pool versorgt, der beim Start und während der Nutzung durch Hardware-Quellen gespeist wird.

Die App wandelt diese Bytes nach BIP-39 in Wörter um: Sie fügt eine Prüfsumme hinzu, teilt das Ergebnis in 11-Bit-Gruppen und ordnet jede Gruppe einem von 2048 Wörtern zu. Zwölf Wörter kodieren 128 Bits Entropie, 24 Wörter 256 Bits.

Seedless-Modus beseitigt die häufigste Verlustursache: eine aufgeschriebene Phrase, die jemand findet, fotografiert oder zerstört. Seed-Phrase-Modus ermöglicht die Nutzung in anderen Wallets, erzeugt aber eine Kopie des Schlüssels außerhalb des Chips.

Warum können Nutzer ihre eigene Entropie nicht testen?

Ein Schlüssel aus 40 Bits Entropie sieht identisch aus wie einer mit 256 Bits. Beide erzeugen eine gültige Adresse und liefern die gleiche Wortanzahl im gleichen Format.
 

Es gibt keinen Test, den du zu Hause selbst durchführen kannst. Deshalb können Entropiefehler jahrelang unbemerkt in ausgelieferten Produkten bleiben. Die Überprüfung muss also vor dem Kauf erfolgen – durch veröffentlichte Audits und präzise technische Antworten des Herstellers.
 

Wie funktionieren Entropie-Angriffe?

Ein Angreifer kann aus einer öffentlichen Adresse keinen Private Key berechnen. Dafür müsste er das diskrete Logarithmusproblem lösen – das ist praktisch unmöglich.

Schwache Entropie macht diese Berechnung überflüssig. Der Angreifer durchsucht die reduzierte Menge an Schlüsseln, die der fehlerhafte Generator erzeugt haben könnte, leitet daraus die Adressen ab und prüft diese auf Guthaben in der Blockchain.

Die Adresse ist dabei das Suchziel. Deshalb finden Entropie-Angriffe Wallets mit Guthaben und ignorieren leere.

Worauf du bei der Wallet-Auswahl achten solltest

Wenn du eine Hardware-Wallet auswählst, achte auf Geräte mit starker, nachweisbarer Entropie-Erzeugung – sie entscheidet darüber, wie unvorhersehbar deine Private Keys sind. 

Der jüngste Entropie-Angriff zeigt, dass Open-Source-Firmware nicht automatisch mehr Sicherheit bedeutet. Die meisten Nutzer können Quellcode nicht selbst prüfen, während erfahrene Angreifer gezielt nach Schwachstellen suchen und diese ausnutzen können.

Der beste Ansatz ist, unnötige Offenlegung kritischer Firmware zu vermeiden und stattdessen unabhängige Audits durch anerkannte Sicherheitsexperten durchzuführen. Letztlich entsteht Sicherheit durch starke Architektur, gründliche Tests und unabhängige Überprüfung. – Andrey Lazutkin, CTO.

Nutze am besten Hardware-Wallets mit zertifiziertem Secure Element und unabhängig geprüfter Firmware. Die Firmware steuert die Nutzung des Secure Elements – Fehler in ihrer Implementierung können selbst die sicherste Hardware kompromittieren. Deshalb sollte jedes Firmware-Update von vertrauenswürdigen Experten geprüft werden. 

Das Sicherheitsdesign von Tangem wurde unabhängig von führenden Laboren wie Kudelski Security, Riscure und Cure53 geprüft. Das gibt dir zusätzliche Sicherheit für dein Wallet.