Publieke Bitcoin-sleutels blootgesteld op 35,4% van de voorraad, zegt Glassnode

Wat er gebeurde

Glassnode publiceerde op 10 november dat 7,12 miljoen BTC zichtbaar zijn achter publieke sleutels. Dat is 35,4% van de uitstaande voorraad.

Volgens Glassnode komt 25,8% van de voorraad door adreshergebruik. Daarvan is 11,6% op beurzen gehouden. Glassnode zegt dat het opnemen van beide percentages dubbel tellen zou veroorzaken omdat de beurswaarde in de adreshergebruikscategorie zit.

In de methode van Glassnode is er een verschil tussen structurele blootstelling en operationele blootstelling. Structurele blootstelling komt door oude output-typen die een publieke sleutel onthullen. Operationele blootstelling ontstaat als wallets adressen hergebruiken. Glassnode stelt dat hergebruik bijna 73% van de blootgestelde voorraad verklaart. Van dat hergebruik komt ongeveer 45% uit beursgerelateerde adressen, berekend uit de gepubliceerde percentages.

Een eerdere opname op 20 mei liet 6,04 miljoen BTC zien als blootgesteld, of 30,2% van de voorraad. De nieuwe cijfers zijn 1,08 miljoen BTC hoger en 5,2 procentpunt meer.

Glassnode meet publieke sleutels terwijl coins nog onbesteed zijn. Het rapport identificeert geen gestolen private keys en voorspelt niet wanneer een quantumaanval mogelijk zou worden.

Er bestaan technische voorstellen om het probleem te verminderen. BIP 360 stelt pay-to-Merkle-root outputs voor via een soft fork. Dat verwijdert Taproot key-path spending maar houdt script-functionaliteit. De auteurs zeggen dat dit bedoeld is tegen lange blootstelling van sleutels. BIP 361 stelt een migratie van legacy signatures voor. Dat plan zou betalingen aan kwetsbare adressen beperken ongeveer drie jaar na activatie en legacy-spending twee jaar later aanscherpen. Geen van beide drafts legt een bindende deadline op voor houders.

Er is ook debat over de effectieve risicoanalyse. Een bericht op X door Foxy stelde dat de veronderstelde Satoshi-holdings niet te kraken zouden zijn vanwege het enorme aantal mogelijke private keys en de verspreiding over veel adressen. De auteurs van BIP 360 wijzen op een ander type aanval met Shor’s algoritme. Daarmee zou een quantumcomputer een private key kunnen afleiden uit een publieke sleutel. Zij noemen vooral vroege pay-to-public-key outputs, waaronder Satoshi-era coins, als kwetsbaar.

Onderzoekers en custody-providers waarschuwen dat blootstelling afhangt van adres type en transactiegeschiedenis. De vice-president research van Fireblocks raadde aan nieuwe stortingen en change-transacties naar verse adressen te sturen en blootgestelde unspent outputs bij te houden.

In de Verenigde Staten finaliseerde NIST in augustus 2024 drie post-quantum standaarden. Die omvatten ML-KEM voor gedeelde secrets en twee digitale-signature standaarden, ML-DSA en SLH-DSA. NIST moedigt integratie aan en noemt ML-DSA de primaire standaard met SLH-DSA als backup.

Waarom dit telt

Voor een belegger in BTC benadrukt dit dat een groot deel van de voorraad publiek zichtbaar is achter sleutels. Dat vergroot de aandacht voor beveiliging, custody-praktijken en voor technische voorstellen die mogelijke toekomstige quantumrisico’s moeten beperken.