Bitcoin-Forensik: Wer ist Satoshi Nakamoto? – Eine interdisziplinäre OSINT-Analyse

1 Einleitung

2 Bitcoin-Technologie: Was es braucht, um so etwas zu erschaffen

3 Biografischer Abriss: Adam Back

Adam Back, geboren Juli 1970 in London, brachte sich als Elfjähriger BASIC auf einem Sinclair ZX81 bei. An der University of Exeter promovierte er 1995/96 über verteilte Systeme [13]. Karrierestationen: GuardianEdge Technologies (Kryptografie-Berater, 1991–2007), Zero-Knowledge Systems (Architekt/Kryptograf, 1999–2002), Microsoft/Passport (Security Architect, 2002–2003), PI Corporation (Co-Founder, 2003–2010), EMC/Decho (CISO, Juni 2008–Juli 2010), Blockstream (Co-Founder & CEO, seit 2014) [16].

1997 erfand Back Hashcash [12], ein Proof-of-Work-System gegen E-Mail-Spam, das später zum Kernbaustein des Bitcoin-Mining wurde und im Whitepaper als Referenz [6] zitiert wird. Er war eine der ersten Personen, die Satoshi Nakamoto im August 2008 per E-Mail kontaktierte.

3.1 Bewertung der Doktorarbeit

Backs PhD-Thesis „Parallelization of General Purpose Programs Using Optimistic Techniques from Parallel Discrete Event Simulation“ ist auf DBLP, Semantic Scholar und ResearchGate gelistet [24, 25]. Sie produzierte 6+ peer-reviewed Publikationen (IEEE, Springer/LNCS, BCS) zwischen 1993–1996 und umfasste den Bau eines funktionsfähigen Compilers und Runtime-Systems. Die Arbeit ist original und substanziell — kein „Marketing-Doktortitel“. Die University of Exeter ist eine solide, aber keine Elite-Universität (UK-Ranking: typisch Top 15–20). Das Thema (Timestamp-Generierung, Parallelisierung, verteilte Systeme) ist direkt relevant für die spätere Architektur von Bitcoin. Es handelt sich um eine akademisch korrekte Arbeit mit eigener Implementierung — ohne Plagiatsverdacht.

3.2 Zeitliche Analyse: 2005–2008

Die Bitcoin-Entwicklung erforderte schätzungsweise 2–3 Jahre intensiver Arbeit. In genau diesem Zeitraum war Back laut LinkedIn doppelt beschäftigt: als Co-Founder und Security Architect von PI Corporation (seit Dez. 2003) und ab Juni 2008 zusätzlich als CISO bei EMC/Decho [16]. Seine Publikationsliste auf cypherspace.org endet effektiv August 2002. Der BTC-e-Leak zeigt eine Login-IP in Colne, Lancashire (92.18.*.*) — eine Kleinstadt in Nordengland, weit entfernt von typischen Tech-Zentren [17, 19].

4 Was wir über Satoshi Nakamoto wissen

4.1 Whitepaper: Stilanalyse und PDF-Metadaten

Das am 31. Oktober 2008 veröffentlichte Whitepaper „Bitcoin: A Peer-to-Peer Electronic Cash System“ [11] umfasst 9 Seiten und 8 Referenzen. Der Stil ist akademisch präzise, aber knapper als übliche Forschungspapiere. Es verwendet durchgehend „we“ statt „I“ („We propose a solution“, „We define an electronic coin“, „We consider the scenario“). Die Sprache zeigt britisches Englisch („favour“), doppelte Leerzeichen nach Punkten und inkonsistenten Bindestrich-Gebrauch („proof-of-work“ vs. „double spending“ vs. „double-spending“). Das Paper zitiert Back (Hashcash), Haber/Stornetta (Timestamping), Dai (b-money) und Merkle.

PDF-Metadatenanalyse. Die Analyse der Metadaten der aktuell auf dem Nakamoto Institute verfügbaren bitcoin.pdf ergibt folgende Befunde:

CreationDate: 24.03.2009, 18:33 — Das Whitepaper wurde am 31.10.2008 veröffentlicht, aber dieses PDF wurde erst am 24. März 2009 erstellt. Es handelt sich also um einen Re-Export nach dem Bitcoin-Launch (Genesis-Block: 03.01.2009). Satoshi hat das Dokument nach dem Start des Netzwerks nochmals angefasst und neu exportiert.

Creator: „Writer“ — Dies ist der Standardeintrag von OpenOffice Writer. Kein Autorenname im Metadatenfeld — entweder bewusst entfernt oder nie eingetragen. Dies deutet auf operationale Sicherheit (OPSEC) des Verfassers.

Producer: „OpenOffice.org 2.4“ — Keine Verwendung von Microsoft Word, kein LaTeX. OpenOffice.org 2.4 war zwar für Windows, Linux und macOS verfügbar, hatte auf Windows jedoch nur ca. 3–5% Marktanteil gegenüber Microsoft Office. Die entscheidende Frage ist nicht das Betriebssystem, sondern: Warum nutzt jemand, der in Visual C++ auf Windows programmiert, ausgerechnet OpenOffice statt Microsoft Word? Dies deutet auf zwei unterschiedliche Personen: den Autor des Papers (Open-Source-affin, möglicherweise Linux) und den Programmierer (Windows/Visual C++).

isEncrypted: false — Das PDF ist nicht verschlüsselt.

Kontrastbefund: Robert Graham stellte fest [8], dass Satoshis Bitcoin-Code von einem Windows-Programmierer stammt (Visual C++, Win32). Das Whitepaper hingegen wurde mit OpenOffice.org erstellt — einer Open-Source-Software, die auf Windows 2008 nur von ca. 3–5% der Nutzer verwendet wurde, während ein Visual-C++-Entwickler typischerweise Microsoft Word genutzt hätte. Diese Anomalie deutet auf ein Gruppen-Szenario: Eine Person schrieb das Paper (Open-Source-affin), eine andere den Code (Windows/Visual C++).

4.2 Coins, Wallets und Wallet-Bewegungen

Laut Arkham Intelligence [21] kontrolliert Satoshi 1.096.354 BTC auf 22.000+ Adressen, identifiziert durch das „Patoshi Pattern“. Beim aktuellen Kurs ca. 80–124 Mrd. USD. Die Coins wurden zwischen Januar 2009 und April 2010 gemint. Keine wurde jemals ausgegeben — außer 10 BTC an Hal Finney am 12.01.2009 (erste Bitcoin-Transaktion). Letzte Kommunikation: 26.04.2011. Im Februar 2026 bestätigte Arkham, dass ein viraler Screenshot über 10.000-BTC-Bewegung gefälscht war. Im März 2026 bewegte ein Satoshi-Ära-Miner (nicht Satoshi selbst) 2.000 BTC (~180 Mio. USD) [22].

4.3 OSINT: [email protected]

Blockchain.com-Leak (Juli 2022): Vier Einträge zeigen aktive Wallet-ID-Erinnerungen (Source: WALLETSSOWALLETIDREMINDERMULTIPLE). IPs: 34.76.*. und 34.76..*** — GCP Belgien, VPN. E-Mail: Valid (Score 0,787). Weitere Leaks: CoinMarketCap (2021), Go2Pub (Mai 2021), Verifications.io (2019) [19].

Die GMX-Wahl und der United-Internet-Zusammenhang: GMX ist ein deutscher E-Mail-Provider, betrieben von 1&1 Mail & Media GmbH. Adam Back hostet cypherspace.org bei IONOS (ehemals 1&1 Internet AG). Beide Unternehmen sind Schwestergesellschaften unter demselben Mutterkonzern: United Internet AG (Montabaur, Deutschland). Back kannte das deutsche Internet-Ökosystem — er hostete dort seit Jahren. Die Breach-Analyse bestätigt: Keiner der vier Kandidaten nutzt GMX in irgendeinem persönlichen Account (Back: cypherspace.org; Finney: nai.com/finney.org/gmail/yahoo; Sassaman: gmail/kuleuven.be; Brown: zabbo.net). [email protected] war eine bewusst separate Identität bei einem Provider, der mit keinem der realen Accounts verknüpft ist — aber zum selben Konzern gehört wie Backs Hoster [19].

4.4 OSINT: [email protected] (IP-Korrelation)

Entscheidender Neufund: [email protected] erscheint im selben Blockchain.com-Leak. Die IP 34.76.. taucht in beiden Datensätzen auf — selber GCP-VPN-Server, selber Zeitraum (Juni/Juli 2022). Source: WALLETSSOWALLETIDREMINDER. Zusätzlich: [email protected] (WALLETWELCOME — neue Wallet erstellt, selbe IP) und [email protected] (WALLETUPDATEDEMAIL, IP 35.241.*.*, ebenfalls GCP Belgien) [19].

Interpretation: Derselbe Akteur kontrollierte im Sommer 2022 sowohl Satoshis Original-GMX-Adresse als auch eine @bitcoin.org-Adresse und führte parallel Wallet-Recovery-Operationen durch, erstellte neue Wallets und änderte E-Mails — alles über denselben GCP-VPN-Cluster in Belgien. Die Verwendung von GCP (statt Consumer-VPN) deutet auf technische Versiertheit.

4.5 E-Mail-Kompromittierung 2014

Am 8. September 2014 übernahm ein Hacker („Jeffrey“) die Kontrolle über [email protected] — wahrscheinlich über eine abgelaufene Recovery-E-Mail ([email protected]). Jeffrey postete auf P2P Foundation, kompromittierte Satoshis SourceForge-Account und änderte Bitcoins Beschreibung in „Buttcoin.“ Er drohte, Identitätsinformationen für 25 BTC zu verkaufen. Jeffrey behauptete: „Der Narr benutzte ein primäres GMX unter seinem vollen Namen und hatte Aliasse darunter eingerichtet. Er lebt auch noch.“ GMX löscht inaktive Accounts nach ca. einem Jahr; Satoshis letzte E-Mail war April 2011 [20, 23].

4.6 WHOIS-Historie: bitcoin.org

Domain registriert am 18.08.2008. 15 WHOIS-Records analysiert. Durchgehend privacy-geschützt: eNom/WhoisGuard (Panama) → Namecheap/Withheld for Privacy ehf (Reykjavik, Island). Aktuell bis 2034 verlängert (10+ Jahre im Voraus). Kein Registrantenname je sichtbar. Der jüngste Record (12.04.2026) zeigt: Handle 8f7963663ad1494095a60b9df1291853-Namech, Kalkofnsvegur 2, Reykjavik [19].

4.7 DNS-Historie: bitcoin.org

Die Nameserver-Wechsel zeichnen die Kontrollübergänge der Domain nach und korrelieren mit schlüsselmomenten der Bitcoin-Geschichte:

Aug.–Sep. 2008: name-services.com (Domain-Erstellung, anonymer Registrar)

Nov.–Dez. 2009: Wechsel zu ZoneEdit (günstiger DNS-Dienst)

Mai–Jun. 2011: → louhi.net — ein finnischer Hosting-Anbieter. Zeitlich exakt nach Satoshis Verschwinden (April 2011). Martti Malmi, der erste Bitcoin-Mitentwickler, ist Finne.

Nov. 2013: registrar-servers.com (Namecheap). Korreliert mit wachsender Bitcoin-Popularität

Jul. 2016: Konsolidierung auf 2 Namecheap-Server

Jul. 2021: Cloudflare (aktuell). Professionalisierung der Infrastruktur [19]

4.8 bitcoin.org-Assoziierte Accounts

BitcoinTalk-Leak (2015): Cøbra ([email protected]) — der bekannte pseudonyme Co-Verwalter. Passwort im Bitcoin Combo Leak: „Cobra“ (Klartext). [email protected] registriert auf User „People Running About“ (IP: 213.10.*.*, Amsterdam). Diverse @bitcoin.org-Adressen wurden von Dritten für Fake-Registrierungen missbraucht: [email protected] (BTC-e, IP Wien/VPN), [email protected] (BTC-e, IP Islington/UK). Ein Gemini-Account existiert für [email protected] (UID 395352911) [19].

Methodische Klarstellung zur Utrecht-IP: Die IP 213.10.*. (KPN B.V., Amersfoort/Utrecht, „fixed“ residential) erscheint nicht nur bei [email protected], sondern bei sechs verschiedenen BitcoinTalk-Accounts desselben Nutzers: „People Running About“ ([email protected]), „Dilla“ ([email protected]), „Rabo“ ([email protected] — offensichtliche Rabobank-Parodie), „Arabs of Crypto“ ([email protected]), „Wandererfromabroad“ ([email protected]) und „Tyrone the Miner“ ([email protected]). Derselbe Nutzer hat auch einen BTC-e-Account ([email protected], UID 216902, 233 ALT16-Coins). Die Fake-E-Mails ([email protected], [email protected]) zeigen, dass diese Person routiniert Sock-Puppets mit erfundenen Adressen anlegte. BitcoinTalk verifizierte in der Frühphase keine E-Mails — [email protected] wurde hier mit hoher Wahrscheinlichkeit als Fake-Email* eingetragen, nicht vom echten Inhaber.

Konsequenz: Die Utrecht-IP ist kein Satoshi-Indiz. Die echte Satoshi-Verbindung bleibt die IP-Korrelation im Blockchain.com-Leak 2022, wo 34.76.. (GCP Belgien) für beide Adressen — [email protected] und [email protected] — erscheint. Dort handelt es sich um authentische Wallet-Recovery-Operationen, nicht um Forenregistrierungen. Dass Dritte [email protected] für Fake-Registrierungen missbrauchten, unterstreicht die Notwendigkeit, IP-Korrelationen nur aus verifizierten Quellen (Wallet-Operationen) zu verwenden [19].

5 Website- und Web-Archivanalyse: cypherspace.org

Adam Backs persönliche Website cypherspace.org besteht aus reinem statischem HTML — kein CSS, kein JavaScript, kein SSL/TLS-Zertifikat. Browser warnen beim Aufruf vor einer unsicheren Verbindung. Die Seite listet folgende Projekte: Hashcash (PoW, 1997), credlib (E-Cash nach Chaum/Brands), Cebolla (IP-Anonymität, vgl. Kapitel 7), Eternity USENET (zensurresistente Speicherung, 1997), Cypherspace (Data Haven), PGP Stealth, OpenPGP-Implementierungen, sowie diverse „Crypto-Hacks“ — ultrakompakte Krypto-Implementierungen in Perl (RSA in 3 Zeilen, RC4, RC5, MD5, SHA, Diffie-Hellman). Die Bitcoin-Adresse auf der Seite (1Adam3usQMbQWScA5AXnnDsRMeZeCh6ovu) ist eine Vanity-Adresse, generiert mit Tools, die erst ab 2012 verfügbar waren. Satoshi verwendete nie Vanity-Adressen und verschwand 2011 [17].

5.1 Chronologie (rekonstruiert aus aktueller Seitenversion)

5.2 Die sechs Jahre Stille (2002–2008)

Zwischen August 2002 (letztes Hashcash-Paper) und dem Bitcoin-Whitepaper (Oktober 2008) gibt es auf cypherspace.org keinen einzigen neuen Eintrag. Carreyrou interpretiert diese Lücke als Hinweis auf verdeckte Bitcoin-Arbeit [1]. Die naheliegendere Erklärung: Back arbeitete proprietär bei PI Corporation (ab 2003) und EMC (ab 2008) und publizierte nicht mehr akademisch. Die Bitcoin-Sektion wurde eindeutig nachträglich hinzugefügt — sie verlinkt auf Ressourcen, die erst nach 2009 existierten.

5.3 Web-Archivanalyse: Methodische Anmerkung

Die Wayback Machine (web.archive.org) archiviert cypherspace.org seit dem Jahr 2000. Zum Zeitpunkt dieser Analyse (April 2026) war der direkte Zugriff auf archivierte Snapshots technisch blockiert (HTTP 403 / Site Blocked). Eine vollständige Analyse der historischen Seitenversionen — insbesondere der Frage, wann genau die Bitcoin-Sektion hinzugefügt wurde und ob es zwischen 2003 und 2008 Änderungen an der Seite gab — konnte daher nicht durchgeführt werden und bleibt ein offener Forschungspunkt. Die hier präsentierte Chronologie basiert ausschließlich auf den vom Seitenbetreiber selbst angegebenen Publikationsdaten.

6 GitHub und Codeanalyse

6.1 GitHub-Profil (adam3us)

Zwei sichtbare Repositories, beide Forks fremder Projekte: „elementsproject.org“ (Blockstream-Dokumentation, CSS) und „adam3us.github.io“ (geforktes Jekyll-Blog-Template). Kein einziges eigenes Code-Repository. Keine sichtbaren Beiträge zu Bitcoin Core oder einem anderen größeren Open-Source-Projekt. Keine substanziellen Gists [18].

6.2 Programmierstil-Vergleich (Graham, 2026)

Sicherheitsforscher Robert Graham verglich am 8. April 2026 Backs öffentlichen C/C++-Code direkt mit dem Bitcoin-0.1-Quellcode [8]. Befund: Back programmiert wie ein akademischer Unix-Entwickler (Makefiles, POSIX-Konventionen, C, Perl). Satoshi programmierte wie ein professioneller Windows-Programmierer (Visual C++, Win32-APIs, MS Visual Studio Projektdateien). Graham: „Der Open-Source-Code von Adam Back und Satoshi Nakamoto sieht nicht im Entferntesten ähnlich aus.“ Der stilistische Graben sei zu breit, um in 3–4 Jahren überbrückt zu werden. Die NYT erwähnt, dass beide C++ nutzten, als Bestätigung — ohne zu berücksichtigen, dass der Stil fundamental verschieden ist.

6.3 Fähigkeitsbewertung

Dafür: PhD verteilte Systeme (Timestamping). Hashcash (PoW). credlib (E-Cash nach Chaum/Brands). Freedom-Netzwerk (Anonymität, bei Zero-Knowledge Systems). Eternity (Zensurresistenz). „Auditable Namespace“ (auditierbare Transaktionshistorie). Jedes konzeptionelle Puzzlestück, das Bitcoin zusammensetzt, liegt in seinem dokumentierten Kompetenzbereich.

Dagegen: Kein öffentlicher Nachweis eines umfangreichen C++-Projekts auf Produktionsniveau. Sein öffentlicher Code: Perl-Miniaturen und akademische C-Libraries. GitHub praktisch leer. Fundamentaler Stilunterschied zu Satoshi. Wenn beteiligt: Architekt, nicht Implementierer.

7 Der Fall Cebolla: Back als Ideengeber, Brown als Implementierer

Das auf Backs Website unter „Crypto Projects“ gelistete Projekt Cebolla wurde nicht von Adam Back geschrieben. Der tatsächliche Autor ist Zach Brown ([email protected]), ein professioneller Linux-Kernel-Entwickler. Das Paper „Cebolla: Pragmatic IP Anonymity“ wurde auf dem Ottawa Linux Symposium im Juni 2002 präsentiert und dankt in der Danksagung explizit: „Special thanks are due to Dr. Adam Back.“ [26]

Cebolla war ein Vorläufer des Tor-Ansatzes. Es verwendete bidirektionale Kanäle mit Diffie-Hellman-Schlüsselverhandlung — ein Mechanismus, der später in Tor übernommen wurde und der nicht durch das Onion-Routing-Patent (Reed et al., 2001) abgedeckt war. Das System wird in der akademischen Literatur neben Tor, MorphMix und Tarzan zitiert [26].

7.1 Zach Brown: Profil eines Elite-Programmierers

Brown war Mitglied der Red Hat Kernel Development Group — einem 14-köpfigen Elite-Team (ab 2000) neben Alan Cox (#2 nach Linus Torvalds), Ingo Molnar, David Miller, Stephen Tweedie und Ben LaHaise. Dies ist die absolute Spitze der Linux-Entwicklungswelt [28].

Bei Oracle arbeitete Brown in einer spezialisierten Linux-Kernelgruppe und war an den Design-Diskussionen für btrfs beteiligt — eines der ambitioniertesten modernen Linux-Dateisysteme. Er co-designte btrfs mit Chris Mason und entwarf CRFS (Coherent Remote File System) — ein Netzwerk-Dateisystem auf Basis von btrfs, für das ein eigener Wikipedia-Artikel existiert [29].

Weitere Linux-Kernel-Beiträge: AIO (Asynchronous I/O), Direct I/O, copy_file_range() Systemcall (2015 LSFMM Summit). FOSDEM 2025 Speaker. Lead Developer von Lustre, OCFS2, ScoutFS und ngnfs [27]. Brown unterhält ein eigenes Git-Repository auf kernel.org (git.kernel.org/pub/scm/linux/kernel/git/zab/linux-rpdfs.git) — ein Privileg, das ausschließlich vertrauenswürdigen Kernel-Maintainern vorbehalten ist. Seine Patches fließen direkt in den von Linus Torvalds verwalteten Mainline-Kernel ein; er repariert und verbessert Code auf der höchsten Ebene des weltweit größten kollaborativen Softwareprojekts [32].

LinkedIn-Testimonials: „His exceptional linux kernel expertise is matched only by his humor and sincerity.“ — „In the upper echelon of his profession.“ — „Although his understanding of the Linux kernel is superb, it’s his innate cleverness and problem solving ability that set him apart from the legions of mere programmers.“ — Ersetzte bei NetAid „zwei KPMG Senior Partners und deren Team von 20–30 Entwicklern“ durch „Zach und zwei Sysadmins.“

7.2 WHOIS und Web-Archivanalyse: zabbo.net

Die Domain zabbo.net wurde am 28. März 1997 registriert — im selben Jahr, in dem Back Hashcash erfand. Ursprünglicher Registrant: Zachary Brown, Portland, OR, USA ([email protected], Tel. 5035504354). 10 WHOIS-Records analysiert. Registrar: domain.com → Google Domains → Squarespace Domains. Aktueller State: Oregon, USA [19].

DNS-Historie: 2002–2007: ns.q7.com/ns2.q7.com. 2008–2015: ns1.zabbo.net/ns2.zabbo.net — Brown betrieb eigene DNS-Server. Dies zeigt professionelle Sysadmin-Kompetenz, die über reine Programmierung hinausgeht. Kernel-Patches wurden signiert als [email protected] und gesendet von lenny.home.zabbo.net — selbstgehostete Infrastruktur. 2015–heute: Google Cloud DNS (ns-cloud-c1–c4.googledomains.com) [19].

Methodische Anmerkung: Die Wayback Machine archiviert zabbo.net seit 2000. Zum Zeitpunkt der Analyse war der direkte Zugriff auf historische Snapshots blockiert. Eine Inhaltsanalyse der frühen Website-Versionen — insbesondere ob Brown dort Kryptografie-Projekte, E-Cash-Konzepte oder Bitcoin-nahe Arbeiten dokumentierte — bleibt ein offener Forschungspunkt.

7.3 Muster: Architekt vs. Implementierer

Dieses Muster ist aufschlussreich und wiederholend: Back liefert die Ideen und das Protokolldesign; ein professioneller Systemprogrammierer liefert die Implementierung. Browns Code ist produktionsreif, systemnahes C auf Kernel-Level — genau der Stil, den Graham bei Satoshis Bitcoin-Code identifizierte [8]. Genau dieses Muster könnte auch bei Bitcoin zugetroffen haben: Back als konzeptioneller Architekt, ein oder mehrere professionelle Programmierer als Implementierer.

7.4 Stilometrischer Vergleich: Cebolla-Paper vs. Bitcoin-Whitepaper

Ein direkter Vergleich des Cebolla-Papers (Brown, 2002, Ottawa Linux Symposium) [26] mit dem Bitcoin-Whitepaper (Nakamoto, 2008) [11] ergibt folgende stilistische Befunde:

Übereinstimmungen: (1) Britisches Englisch: Cebolla verwendet „neighbour’s“ (britische Schreibweise) — bemerkenswert für einen Amerikaner aus Portland, OR. Das Bitcoin-Whitepaper verwendet „favour“. (2) Referenz-Netzwerk: Cebolla zitiert Wei Dai und David Chaum; das Whitepaper zitiert Wei Dai und referenziert Chaums Konzepte. (3) Hashcash: Cebolla erwähnt Hashcash [8] explizit im Kontext von DoS-Schutz; Bitcoin nutzt Hashcash als PoW-Mechanismus. (4) Ingenieurtechnischer Fokus: Beide Papers beschreiben funktionierende Systeme (Unix-Daemon bzw. Client), nicht reine Theorie. (5) Formale Bedrohungsmodelle in derselben Denktradition.

Unterschiede: (1) „We“-Verwendung: Bitcoin durchgehend („We propose“, „We define“); Cebolla bevorzugt Passiv und dritte Person. (2) Textdichte: Das Whitepaper ist extrem kompakt (9 Seiten, 8 Referenzen); Cebolla ist ausführlicher (10 Seiten für ein weniger komplexes System). (3) Doppelte Leerzeichen nach Punkten im Whitepaper, nicht in Cebolla. (4) Named Actors (Alice/Bob) in Cebolla, nicht im Whitepaper.

Bewertung: Die Unterschiede in Pronomen-Gebrauch und Textdichte deuten darauf hin, dass verschiedene Personen das Whitepaper und das Cebolla-Paper verfassten. Die Übereinstimmungen im Referenzrahmen (Wei Dai, Chaum, Hashcash), die britische Schreibweise und der Systemfokus platzieren beide Texte im selben intellektuellen Milieu. Brown schrieb wahrscheinlich nicht das Whitepaper — aber er könnte den Code geschrieben haben, während Back oder Finney das Paper verfassten. Dies ist konsistent mit dem Cebolla-Muster: Brown implementiert, Back konzipiert [8, 26].

8 Breach-Datenanalyse und Kreuzabgleich

8.1 Krypto-Portfolio

BTC-e-Leak (2017): Account adam3us, verifiziert via [email protected], Account-ID 154985. Guthaben: 0,23146639 BTC. Alle 16 Altcoin-Positionen: praktisch null (0,0000191 in einer einzigen Position). Account erstellt Oktober 2013 (Unix-Timestamp 1380813987), letzter Trade Februar 2014 (Timestamp 1393003022). Danach inaktiv. Login-IP: 92.18.*.*, Colne, Lancashire, England. Ergänzend: Gemini-Account (UID 30222343), CoinMarketCap-Profil, Ledger-Newsletter — alles via [email protected] [19].

8.2 Passwortqualität und digitaler Fußabdruck

Für [email protected] tauchen in mehreren unabhängigen Combolists (Zabugor 2019, Collection1 2019, BreachComp 2020, Antipublic 2018) drei Klartext-Passwörter auf. Alle 7–8 Zeichen, reine Kleinbuchstaben, wiederverwendet (Badoo, Adobe, Dropbox, BTC-e). Die Breach-Analyse der übrigen drei Kandidaten ergibt ein ähnlich ernüchterndes Bild [19]:

Adam Back: 7–8 Zeichen, Kleinbuchstaben, wiederverwendet — schwach.

Hal Finney: „kang“, „Leg“ (swm@aol.com, Cla/Zo*) — moderat.

Len Sassaman: „nn“, „nn“, „nov*“ (len.s@gmail.com, Ba*/Zo*) — sehr schwach. Ein Privacy-Advocate mit einem Passwort aus sechs identischen Buchstaben.

Zach Brown: „stu*“ ([email protected], Evite) — buchstäblich das Wort „stu*.“ Ein Mann, der Code für Linus Torvalds’ Mainline-Kernel repariert.

Befund: Keiner der vier zeigt das OPSEC-Profil, das 17 Jahre Identitätsschutz über ein $100-Mrd.-Geheimnis erfordern würden. Dies ist konsistent mit der Gruppen-These: Die Sicherheit lag nicht in individueller Passwortkompetenz, sondern in der strukturellen Trennung zwischen Pseudonym ([email protected]) und realen Identitäten.

Digitaler Fußabdruck im Vergleich: Back: 167 Breach-Einträge. Finney: 21+. Sassaman: 12+. Brown: ~10 (nur zabbo.net). Eine OSINT-Suche nach „Zachary Brown“ ergibt 3.733 Treffer — fast ausschließlich andere Personen. Brown hat den saubersten digitalen Fußabdruck aller vier: praktisch unsichtbar außer über seine eigene Domain. Am nächsten an Satoshis Anonymität [19].

8.3 Kreuzabgleich: Jaccard-Analyse und Permutationsprüfung

Die 243 Datensätze zum Namen „Satoshi Nakamoto“ stammen aus Deep Web, Dark Web und Public Web. Es ist methodisch zu berücksichtigen, dass jede Person diesen Namen frei wählen kann — die Mehrzahl der Einträge sind Tribute-Accounts, Trolle oder echte japanische Personen (u.a. Senior Designer bei Karl Lagerfeld NYC, Principal Designer bei Ralph Lauren, Cisco-Mitarbeiter aus Osaka).

Für den Kreuzabgleich zwischen Datensatz A (Adam Back, n=167) und Datensatz S (Satoshi Nakamoto, n=243) wurden die Attributmengen P (Passwörter), I (IP-Adressen), E (E-Mail-Pattern) und U (Benutzernamen) sowohl in 1:1-Relationen (direkter Attributvergleich pro Datensatzpaar) als auch in m:n-Relationen (Mengenvergleich über gruppierte Attribute) geprüft.

Der Jaccard-Similaritätskoeffizient berechnet sich als:

J(Aₓ, Sₓ) = |Aₓ ∩ Sₓ| / |Aₓ ∪ Sₓ| = 0 für alle x ∈ {P, I, E, U}

Zusätzlich wurde eine Permutationsanalyse durchgeführt: Sämtliche Attributkombinationen beider Datensätze wurden systematisch permutiert und paarweise verglichen. Der kombinatorische Abgleich über das kartesische Produkt A × S ergibt |A × S| = 167 × 243 = 40.581 Vergleichspaare. Für jedes Paar (aᵢ, sⱼ) wurde die Attributübereinstimmung über alle verfügbaren Felder geprüft:

∀ (aᵢ, sⱼ) ∈ A × S : sim(aᵢ, sⱼ) = 0

Ein zusätzlicher Varianztest über die Passwort-Entropie-Verteilungen beider Datensätze zeigt keine statistisch signifikante Überlappung (σ²(A) ≠ σ²(S), p > 0.05). Backs IP in Colne, Lancashire (92.18.*.*) ist disjunkt zu Satoshis IPs (GCP Belgien, 34.76.x.x / 35.241.x.x).

Ergebnis: Null Übereinstimmungen über alle Attributmengen, Permutationen und Varianzprüfungen [19].

9 Die Gruppen-These

Die NYT-Untersuchung und die meisten früheren Recherchen operieren unter der Annahme, dass Satoshi eine Einzelperson war. Mehrere Indizien sprechen dagegen:

Das Whitepaper verwendet durchgehend „we.“ Die Bandbreite der in Kapitel 2 beschriebenen Disziplinen übersteigt das typische Kompetenzspektrum einer Einzelperson. Aktivitätszeitenanalysen deuten auf unterschiedliche Zeitzonen hin [9, 10]. Bitcoin-Entwickler Laszlo Hanyecz bemerkte: Bitcoin wirke „erstaunlich gut durchdacht für eine Einzelperson.“ Die PDF-Metadaten (OpenOffice — ungewöhnlich für einen Visual-C++-Entwickler) kontrastieren mit dem Code (Windows/Visual C++) — ein weiteres Indiz für mindestens zwei Beteiligte. Auf Backs Website cypherspace.org findet sich zudem ein Foto einer Cypherpunk-Gruppierung — ein Milieu, in dem kollaborative, pseudonyme Projekte die Norm waren, nicht die Ausnahme.

9.1 Hal Finney: Der erste Bitcoin-Empfänger

Harold Thomas Finney II (4. Mai 1956 – 28. August 2014) war ein amerikanischer Softwareentwickler und Kryptograf. Er war der zweite Entwickler von PGP (nach Phil Zimmermann), betrieb zwei der frühesten anonymen Remailer und schuf 2004 RPOW (Reusable Proofs of Work) — das erste funktionierende System wiederverwendbarer Proof-of-Work-Tokens, explizit basierend auf Backs Hashcash [33]. Am 12. Januar 2009 erhielt er die erste Bitcoin-Transaktion (10 BTC) von Satoshi Nakamoto. Er war der erste, der neben Satoshi Bitcoin-Code beitrug und einen Node betrieb.

Programmierstil: Finney entwickelte in seiner frühen Karriere Konsolenspiele bei Mattel Electronics (Adventures of Tron, Armor Ambush, Space Attack) und arbeitete später bei PGP Corporation. Sein Code war professionell und Windows-basiert — und der erste Bitcoin-Proof-of-Concept lief auf Windows XP. Dies ist stilistisch näher an Satoshis Code (Windows, Visual C++) als an Backs (Unix, Perl) oder Browns (Linux Kernel, C).

Die Japan-Verbindung: Finney lebte 10 Jahre in Temple City, Kalifornien — nur wenige Straßen entfernt von Dorian Prentice Satoshi Nakamoto, einem japanisch-amerikanischen Ingenieur, dessen Geburtsname buchstäblich „Satoshi Nakamoto“ war. Finney beschrieb Satoshi als „einen jungen Mann japanischer Abstammung, der sehr klug und aufrichtig war.“ Forbes beauftragte Juola & Associates mit einer Schreibstilanalyse: Finney war der beste Satoshi-Kandidat, den die Firma je analysiert hatte — der erste, bei dem die Ergebnisse „vielversprechend genug zum Publizieren“ waren [33]. Keiner der anderen drei Kandidaten (Back, Sassaman, Brown) hat eine dokumentierte Japan-Verbindung. Wenn das Quartett ein japanisches Pseudonym benötigte, hatte Finney einen realen Nachbarn mit exakt diesem Namen.

Finney wurde 2009 mit ALS diagnostiziert und verstarb am 28. August 2014. Sein Körper wurde bei der Alcor Life Extension Foundation kryokonserviert. Er bestritt, Satoshi zu sein. Adam Back erinnerte sich: „I consider him to be a constructive personality more interested in building things than arguing about politics.“ [33]

9.2 Len Sassaman: Der Cypherpunk und PhD-Kandidat

Leonard Harris Sassaman (9. April 1980 – 3. Juli 2011) war ein amerikanischer Kryptograf, Privacy-Aktivist und Maintainer des Mixmaster Anonymous Remailer. Er arbeitete bei Network Associates an PGP, war Mitglied der Shmoo Group, Contributor zu OpenPGP und GNU Privacy Guard, co-gründete CodeCon mit Bram Cohen (BitTorrent-Erfinder) und co-entwickelte das Zimmermann-Sassaman Key-Signing Protocol mit Phil Zimmermann [34].

Sassaman war PhD-Kandidat an der Katholieke Universiteit Leuven (Belgien) in der COSIC-Forschungsgruppe. Seine Betreuer: David Chaum (Erfinder von digitalem Bargeld) und Bart Preneel. Sein Hauptprojekt Pynchon Gate adressierte pseudonyme Informationsabfrage über anonymisierte Knoten und beschäftigte sich mit Byzantine Fault Tolerance — genau das systemische Problem, das Bitcoins Blockchain-Architektur löst [34].

Zeitliche Korrelation: Satoshis letzte E-Mail: 26. April 2011. Sassaman starb am 3. Juli 2011 — 10 Wochen später. Bitcoin Block 138725, gemint am Tag seiner Beerdigung (9. Juli 2011), enthält ein permanentes ASCII-Art-Memorial, eingebettet von Dan Kaminsky. Auf Polymarket hielten 44,5% der Wetter Sassaman für Satoshi [34].

Wichtige Einschränkung: Sassaman’s Witwe Meredith Patterson (Informatikerin, Mitgründerin von Osogato) erklärte am 23. Februar 2021 auf X: Nach bestem Wissen war ihr Mann nicht Satoshi Nakamoto [34].

9.3 Biografische Verbindungsmatrix (breach-bestätigt)

Die dokumentierten Verbindungen zwischen den vier Kandidaten, gestützt durch Breach-Daten:

Back ↔ Finney: Cypherpunks Mailing List (1990er). Hashcash (1997) → RPOW (2004). E-Mail-Austausch über Jahre. Finney bat Back, RPOW zu kommentieren. Trafen sich laut Back nie persönlich.

Back ↔ Sassaman: Gemeinsame Arbeit an Remailer-Technologien. Sassaman arbeitete bei Network Associates an PGP; Back entwickelte credlib (Chaum/Brands E-Cash). Beide aktiv auf Cypherpunks-Liste.

Back ↔ Brown: Cebolla-Paper (2002): Brown bedankt sich explizit bei „Dr. Adam Back.“ Brown implementierte Backs Konzept. Dokumentiertes Architekt-Implementierer-Muster.

Finney ↔ Sassaman: Beide bei Network Associates an PGP. Breach-bestätigt: [email protected] (Senior Software Engineer, Network Associates, 3965 Freedom Cir, Santa Clara, CA) und [email protected] (KU Leuven, Antwerp, Belgien) in DemandScience/PeopleDataLabs. Beide Experten für Remailer-Technologie [19].

Finney ↔ Brown: Keine direkte Verbindung dokumentiert. Finney in Kalifornien, Brown in Portland. Beide im breiteren Open-Source-Ökosystem.

Sassaman ↔ Brown: Keine direkte Verbindung dokumentiert. Sassaman in San Francisco/Leuven, Brown in Portland. Beide in privacy-/open-source-orientierten Gemeinschaften.

Europäische VPN-Muster: Satoshis Wallet-Operationen: GCP Belgien (34.76.x.x). Finneys Yahoo-Account: IP 213.200.*., Paris, Frankreich*. Sassaman: Leuven, Belgien. Die Nutzung europäischer Infrastruktur ist ein wiederkehrendes Muster im Umfeld dieser Akteure [19].

9.4 Das Cypherpunk-Quartett: Back, Finney, Sassaman, Brown

Die entscheidende Verbindung: Sassaman und Finney arbeiteten zusammen bei Network Associates an PGP — nicht lose, sondern am selben Produkt, im selben Unternehmen. Sassaman war für die Interoperabilitätstests von PGP7 verantwortlich. Finney war der zweite PGP-Entwickler nach Zimmermann und half bei der Erstellung von RFC 4880 (OpenPGP-Standard). Adam Back arbeitete mit beiden an Remailer-Technologien und stellte über Hashcash die konzeptionelle Grundlage für Finneys RPOW bereit. Zach Brown (vgl. Kapitel 7) war der professionelle Linux-Kernel-Entwickler, der Backs Cebolla-Konzept implementierte und dessen Codequalität (systemnahes C, Kernel-Level, Red Hat, Oracle/btrfs) die höchste unter allen Kandidaten ist [26, 27, 28, 33, 34, 35].

Dieses Quartett vereint alle konzeptionellen und technischen Bausteine, die Bitcoin erfordert:

Back: Proof-of-Work (Hashcash), Protokolldesign, E-Cash-Theorie (credlib), Timestamp-Generierung (PhD). Der konzeptionelle Architekt.

Finney: RPOW (funktionierendes PoW-Token-System), Windows-Programmierung auf Produktionsniveau (Spiele, PGP), erste BTC-Transaktion. Der Windows-Entwickler.

Sassaman: Anonyme Kommunikation (Mixmaster), Byzantine Fault Tolerance (Pynchon Gate), PhD unter David Chaum. Der Anonymitäts- und Protokoll-Experte.

Brown: Linux-Kernel-Entwicklung (Red Hat, Oracle), btrfs/CRFS, AIO/Direct I/O, eigenes kernel.org Git-Repository. Der Elite-Systemprogrammierer, dessen Codequalität dem Bitcoin-Quellcode am nächsten kommt.

Back selbst sagte: „Hal Finney would have rushed off and implemented it or myself.“ Das Cebolla-Muster (Kapitel 7) zeigt, wie Back und Brown in der Praxis zusammenarbeiteten: Back als Ideengeber, Brown als Implementierer. Dieses Muster ist auf Bitcoin übertragbar — mit Finney als zusätzlichem Windows-Entwickler und Sassaman als Anonymitätsexperten [35].

9.6 VPN-Korrelation: Methodische Einordnung

Die Blockchain.com-Wallet-Recovery für [email protected] und [email protected] erfolgte über GCP-IPs in Brüssel, Belgien (34.76.x.x, 35.241.x.x). Sassaman lebte und arbeitete in Leuven, Belgien, bis zu seinem Tod 2011. Wichtige methodische Einschränkung: Es handelt sich um VPN-IPs eines Cloud-Providers (Google Cloud Platform). Die Wahl eines belgischen GCP-Knotens impliziert nicht zwingend einen physischen Standort in Belgien — GCP-VPN-Endpunkte können von überall konfiguriert werden. Die Korrelation ist bemerkenswert, aber nicht beweiskräftig [19].

9.7 Akronym-Transkription: „Satoshi Nakamoto“ als Namensmosaik

Ob sich aus den Vor-, Zweit- und Nachnamen des Quartetts ein Akronym für „Satoshi Nakamoto“ konstruieren lässt, wurde systematisch geprüft. Namensbasis: Adam Back, Harold Thomas Finney II (Hal), Leonard Harris Sassaman, Zachary Brown.

S-A-T-O-S-H-I Buchstabe → Quelle

S → Sassaman (Initiale) | A → Adam (Initiale) | T → Thomas (Finneys Zweitname) | O → Brown (Inlaut) | S → Sassaman (Dopplung) | H → Hal / Harris (Rufname / Sassaman’s Zweitname) | I → Finney (Inlaut)

N-A-K-A-M-O-T-O Buchstabe → Quelle

N → Finney (Inlaut) | A → Adam (Initiale) | K → Back (Endlaut) | A → Sassaman (Inlaut) | M → Adam / Sassaman (Endlaut / Inlaut) | O → Brown (Inlaut) | T → Thomas (Finneys Zweitname) | O → Brown (Dopplung)

NAKAMOTO lässt sich stärker ableiten als SATOSHI — insbesondere bacK, Adam, adaM und Thomas sind jeweils sauber aus Initialen bzw. End-/Anlauten konstruierbar. Bemerkenswert ist, dass gerade die Zweitnamen — Harold Thomas Finney und Leonard Harris Sassaman — Buchstaben liefern, die über Rufnamen allein nicht verfügbar wären. Auf Japanisch bedeutet „Satoshi“ (聡) „weise, klarsichtig“ und „Nakamoto“ (中本) „im Zentrum, am Ursprung“ — semantisch lesbar als die weisen Köpfe am Ursprung.

Diese Transkription ist nicht wissenschaftlich fundiert und erhebt keinen Beweis-Anspruch. Sie dokumentiert eine beobachtbare Möglichkeit, die im Kontext der Gruppen-These bemerkenswert, aber nicht belastbar ist.

9.8 Plausible Deniability: Warum jeder wahrheitsgemäß abstreiten kann

Ein entscheidender Aspekt der Gruppen-These wird in der öffentlichen Debatte übersehen: Wenn Satoshi Nakamoto ein Gruppenpseudonym ist, kann jedes einzelne Mitglied wahrheitsgemäß sagen: „Ich bin nicht Satoshi Nakamoto.“ Denn keiner von ihnen ist Satoshi — Satoshi ist das Kollektiv. Back dementierte sechs Mal. Finney dementierte. Sassaman wurde nie gefragt. Brown wurde nie öffentlich mit Bitcoin in Verbindung gebracht.

Die entscheidende Frage wurde nie gestellt: Kein Journalist, kein Ermittler, kein Dokumentarfilmer hat je gefragt: „Waren Sie Teil eines Teams, das Bitcoin entwickelt hat?“ Stattdessen lautet die Frage immer: „Sind Sie Satoshi?“ — eine Frage, die bei einem Gruppenpseudonym trivial und ehrlich verneint werden kann. Dieses Framing schützt jedes einzelne Mitglied perfekt.

Der reale Name als perfekter Schutzschild: Die Abstreitbarkeit wird durch die Tatsache verstärkt, dass „Satoshi Nakamoto“ kein erfundenes Pseudonym ist, sondern der Geburtsname einer realen Person — Dorian Prentice Satoshi Nakamoto, Finneys Nachbar in Temple City. Auf die Frage „Sind Sie Satoshi Nakamoto?“ ist die ehrliche Antwort nicht nur „Nein, ich bin Teil einer Gruppe“, sondern schlicht: „Nein — Satoshi Nakamoto ist ein japanisch-amerikanischer Ingenieur in Kalifornien.“ Der Name verweist auf eine existierende Person, nicht auf den Fragenden. Dies macht die Abstreitbarkeit nahezu wasserdicht: Das Pseudonym wurde nicht erfunden, es wurde entliehen — von einem Nachbarn, der nichts davon wusste.

10 Schwächen der NYT-Untersuchung

(1) Die stilometrische Analyse wurde vom beauftragten Linguisten Florian Cafiero selbst als „nicht schlüssig“ bezeichnet. Hal Finney lag fast gleichauf. Eine zweite Methode lieferte völlig andere Rankings [6].

(2) Carreyrou erklärt Backs dokumentierten E-Mail-Austausch mit Satoshi (August 2008, vorgelegt im Craig-Wright-Prozess in London) als mögliche Selbstinszenierung. Für diese These bietet der Artikel keinerlei Belege [1].

(3) Die Codeanalyse wird ignoriert. Die NYT erwähnt, dass beide C++ nutzten, als Bestätigung — obwohl der tatsächliche Stil fundamental verschieden ist [8].

(4) Das Fortune-Magazin diagnostizierte am selben Tag schweren Confirmation Bias. Nick Szabo, der alle Kriterien ebenfalls erfüllt, wird vorschnell verworfen [5].

(5) Kein kryptografischer Beweis: keine Signatur mit Satoshis Schlüsseln, keine Wallet-Bewegung. Ohne dies bleibt die Zuordnung spekulativ.

11 Integrierte Zeitlinie: Krypto-Historie und digitale Spuren

Diese Zeitlinie integriert die wichtigsten Meilensteine der Krypto-/Bitcoin-Geschichte mit den in dieser Analyse identifizierten digitalen Spuren.