Kraken vs. Gemini: Bester Austausch für Sicherheit? (Rezension)

Vergleich der Sicherheitsinfrastruktur

1. Kraken unterhält eine mehrschichtige Sicherheitsarchitektur, die Kühlspeicher für über 95 % der Benutzerressourcen, Air-Gap-Signatursysteme und Hardware-Sicherheitsmodule (HSMs) umfasst, die nach FIPS 140-2 Level 3-Standards zertifiziert sind.

2. Gemini verwendet ein ähnliches Cold-Storage-Modell, fügt jedoch durch sein „Project Winklevoss“-Verwahrungsprotokoll eine zusätzliche Ebene hinzu, die Genehmigungen mit doppelter Signatur über geografisch verteilte Standorte hinweg für jede Vermögensbewegung vorschreibt.

3. Beide Plattformen werden jährlichen Penetrationstests durch Dritte unterzogen. Allerdings veröffentlicht Kraken vollständige Prüfberichte von Firmen wie der NCC Group, während Gemini von Deloitte validierte Zusammenfassungen veröffentlicht, ohne vollständige technische Ergebnisse offenzulegen.

4. Das interne Sicherheitsteam von Kraken besteht aus ehemaligen NSA-Kryptografen und ehemaligen FBI-Ermittlern im Bereich der Cyberkriminalität, während Geminis Sicherheitsführerschaft in erster Linie auf dem Hintergrund der Finanzcompliance beruht und weniger Wert auf offensive Sicherheitsexpertise legt.

5. Die Zwei-Faktor-Authentifizierungsoptionen unterscheiden sich: Kraken unterstützt U2F-Sicherheitsschlüssel, TOTP und SMS-Fallback, während Gemini SMS vollständig einschränkt und nur U2F und TOTP zulässt – was die Angriffsfläche verringert, aber die Zugänglichkeit für einige Benutzer einschränkt.

Einhaltung gesetzlicher Vorschriften und Lizenzierung

1. Gemini verfügt über eine BitLicense des New York State Department of Financial Services (NYDFS) – die erste und strengste Kryptolizenz in den USA – und fungiert als qualifizierte Depotbank gemäß SEC-Regel 17f-2.

2. Kraken verfügt nicht über eine BitLizenz, ist aber als Money Services Business (MSB) bei FinCEN registriert und als Virtual Currency Business Activity (VCBA)-Betreiber in mehreren Bundesstaaten, darunter Washington und Texas, lizenziert.

3. Die NYDFS-Aufsicht von Gemini erfordert vierteljährliche Bescheinigungen zur Vermögenstrennung und monatliche Offenlegungen von Reservenachweisen, die von einer unabhängigen Wirtschaftsprüfungsgesellschaft überprüft werden.

4. Kraken legt Jahresabschlüsse bei den staatlichen Aufsichtsbehörden vor, veröffentlicht jedoch keine Echtzeitüberprüfung der Reserven und unterzieht sich nicht den vorgeschriebenen Bescheinigungen im Zusammenhang mit dem Depotstatus.

5. Beide Börsen halten sich an die KYC/AML-Rahmenbedingungen, doch Gemini setzt strengere Schwellenwerte für die Identitätsüberprüfung durch und lehnt bestimmte von der Regierung ausgestellte Ausweise ab, die als unzureichend maschinenlesbar gelten oder denen eine biometrische Validierung fehlt.

Versicherungsschutz und Vermögensschutz

1. Gemini versichert über AIG digitale Vermögenswerte in Hot Wallets bis zu 200 Millionen US-Dollar und deckt Diebstahl aufgrund von Cybersicherheitsverstößen, Insider-Bedrohungen und unbefugtem Zugriff ab.

2. Kraken verfügt über Versicherungspolicen gegen Kriminalität in Höhe von insgesamt 250 Millionen US-Dollar. Die Formulierungen in der Police schließen jedoch Verluste aus, die durch Sicherheitslücken bei Smart Contracts, Oracle-Ausfälle oder Social-Engineering-Angriffe auf Mitarbeiter entstehen.

3. Keine der Börsen versichert Benutzerverluste durch Phishing, Malware oder kompromittierte persönliche Geräte – die Verantwortung liegt allein beim Kontoinhaber.

4. Die Versicherung von Gemini erstreckt sich auf Verluste, die bei Wallet-Migrationsereignissen entstehen, die durch Plattform-Upgrades ausgelöst werden, während Kraken die Deckung für Betriebsfehler bei Infrastrukturübergängen ausdrücklich ausschließt.

5. Beide Plattformen unterhalten getrennte Kundenkonten, aber nur Gemini veröffentlicht vierteljährliche Bilanzübersichten, aus denen hervorgeht, dass es keine Vermischung zwischen Unternehmensgeldern und Kundenvermögen gibt.

Verlauf der Reaktion auf Vorfälle und Transparenz

1. Kraken erlebte im zweiten Quartal 2022 eine gezielte Phishing-Kampagne, von der weniger als 200 Benutzer betroffen waren; Es gab den Vorfall innerhalb von 72 Stunden bekannt und bot eine Erstattung der nachgewiesenen Verluste an.

2. Gemini hat seit seiner Einführung im Jahr 2015 keine Vorfälle im Bereich der öffentlichen Sicherheit gemeldet, obwohl im Jahr 2021 durchgesickerte interne Dokumentationen enthüllten, dass zwei API-Schlüssel-Angriffe beinah verhindert wurden, bevor sie ausgenutzt wurden.

3. Das Incident-Response-Team von Kraken wird gemäß dem veröffentlichten SLA innerhalb von 15 Minuten nach der bestätigten Erkennung eines Verstoßes aktiviert und beauftragt innerhalb einer Stunde externe forensische Partner.

4. Das Reaktionsprotokoll von Gemini sieht ein obligatorisches 48-Stunden-Einfrieren aller Auszahlungsanfragen nach der Erkennung einer Anomalie vor – selbst wenn diese falsch positiv sind – und verzögert so legitime Transaktionen in Zeiten hoher Volatilität.

5. Kraken unterhält ein öffentliches Bug-Bounty-Programm mit Auszahlungen von bis zu 25.000 US-Dollar für kritische Schwachstellen; Gemini führt ein privates Programm nur auf Einladung mit nicht genannten Belohnungsstufen und ohne öffentliche Bestenliste durch.

Häufig gestellte Fragen

F: Speichert Kraken private Benutzerschlüssel? Nein. Kraken generiert oder speichert niemals private Benutzerschlüssel. Die gesamte kryptografische Signatur erfolgt in gehärteten HSM-Umgebungen, die ausschließlich von der Verwahrungsinfrastruktur von Kraken verwaltet werden.

F: Kann Gemini Konten ohne gerichtliche Anordnung einfrieren? Ja. Gemäß seinen Nutzungsbedingungen behält sich Gemini das Recht vor, Konten zu sperren, wenn verdächtige Aktivitäten, behördliche Warnsignale oder Verstöße gegen seine Nutzungsrichtlinien festgestellt werden – ohne dass eine gerichtliche Genehmigung erforderlich ist.

F: Sind die Cold-Storage-Adressen von Kraken öffentlich überprüfbar? Nein. Kraken veröffentlicht keine Bitcoin- oder Ethereum-Einzahlungsadressen, die für die Kühllagerung verwendet werden. Es stellt nur aggregierte Proof-of-Reserve-Daten ohne On-Chain-Adresszuordnung bereit.

F: Ermöglicht Gemini die Self-Custody-Integration über nicht verwahrte Wallets? Nein. Gemini verbietet die direkte Verbindung mit externen, nicht verwahrten Wallets für Handels- oder Stake-Funktionen. Während der aktiven Teilnahme an Plattformdiensten müssen sich alle Vermögenswerte an von Gemini kontrollierten Adressen befinden.