ɱ xmrdojo.orgclearnet · onion

~/xmrdojo/news/fcmp-plus-plus-erklaert.md

FCMP++ erklärt: Moneros größtes Upgrade seit RingCT

Fortgeschritten ~10 min Lesezeit

Monero bereitet das größte Protokoll-Upgrade seit der Einführung von RingCT vor. Es heißt FCMP++ und ersetzt die Ringsignatur, das Herzstück von Moneros Absender-Privatsphäre seit 2014. Dieser Artikel erklärt, warum das nötig ist, wie es funktioniert, was sich für dich konkret ändert und wo das Vorhaben aktuell steht. Du brauchst kein Kryptographie-Studium, aber ein Grundverständnis davon, wie eine Monero-Transaktion aufgebaut ist. Lesezeit etwa fünfzehn Minuten.

Stand der Angaben Geprüft am 10. Juli 2026. FCMP++ ist zu diesem Zeitpunkt nicht auf dem Monero-Mainnet aktiv. Es existiert kein angekündigtes Datum für das Netzwerk-Upgrade. Abschnitt 8 hält den Stand fest und wird regelmäßig aktualisiert. Alle anderen Abschnitte bleiben stabil.

1. Das Problem: was eine Ringsignatur leistet und was nicht #

Wenn du heute XMR ausgibst, gibst du einen Output aus, der dir gehört. Damit niemand sieht, welcher das ist, packt dein Wallet ihn zusammen mit einer Reihe fremder Outputs in einen Ring und signiert für den ganzen Ring. Die fremden Outputs heißen Decoys (Täuschkörper). Die aktuelle Ringgröße beträgt 16. Ein Beobachter sieht also 16 Kandidaten und weiß nur, dass einer davon der echte ist.

Dazu kommen zwei weitere Bausteine, die oft mit der Ringsignatur verwechselt werden. Die Stealth-Adresse verbirgt den Empfänger. RingCT verbirgt den Betrag. Diese beiden bleiben von FCMP++ unangetastet. Es geht ausschließlich um den Absender.

Das strukturelle Problem der Ringsignatur ist nicht die Zahl 16. Es ist, dass die 16 Kandidaten nicht gleichwertig sind.

Die Decoys werden von deinem Wallet aus der Blockchain ausgewählt, und zwar nach einer Heuristik, die schätzt, wie alt eine typische Ausgabe ist. Diese Schätzung ist gut, aber nicht perfekt. Wer sehr viele Transaktionen statistisch auswertet, kann Wahrscheinlichkeiten zuordnen. Ein Decoy, das aus einem Muster fällt, ist ein Hinweis. Dazu kommen Effekte außerhalb der Kette: Wenn jemand einen der 16 Outputs bereits kennt, weil er ihn selbst erzeugt hat, schrumpft der Ring effektiv auf 15.

Der zweite Schwachpunkt ist die Zeit. Die Kette wird nicht vergessen. Eine Transaktion aus dem Jahr 2018 ist heute noch genauso analysierbar wie damals, nur mit besseren Methoden und mehr Vergleichsdaten. Die Privatsphäre einer Ringsignatur nimmt mit der Zeit ab.

2. Warum größere Ringe die Lösung nicht sind #

Die naheliegende Antwort lautet: Erhöht die Ringgröße auf 128 oder 1024. Das wurde in der Community lange diskutiert und aus zwei Gründen verworfen.

Erstens die Kosten. Eine klassische Ringsignatur wächst linear mit der Ringgröße. Jeder zusätzliche Decoy bedeutet mehr Bytes auf der Kette und mehr Rechenzeit bei der Verifikation in jeder Node. Ein Ring von 1024 würde Transaktionen und Gebühren um Größenordnungen aufblähen.

Zweitens der Ertrag. Der Sprung von 16 auf 128 verbessert die Lage nicht qualitativ. Die Heuristik-Angriffe funktionieren weiterhin, nur mit etwas mehr Aufwand. Man kauft sich teuer ein bisschen Zeit.

Die Community entschied sich deshalb für den unbequemeren Weg: die Ringsignatur ganz abschaffen.

3. Die Idee: Full-Chain Membership Proofs #

FCMP++ steht für Full-Chain Membership Proofs, ergänzt um Spend Authorization und Linkability. Der Grundgedanke ist eine Umkehrung.

Statt zu beweisen “mein Output ist einer von diesen 16, die ich dir hier zeige”, beweist FCMP++: “mein Output ist irgendeiner aus der Menge aller Outputs der Kette, und ich sage dir nicht welcher.”

Es gibt keine Decoy-Auswahl mehr. Es gibt keine Heuristik, die man angreifen könnte. Die Anonymitätsmenge ist nicht mehr eine Auswahl, sondern die Gesamtheit.

In Zahlen: Heute ist dein Absender einer von 16. Nach dem Upgrade ist er einer von über 100 Millionen. So formuliert es das Monero-Projekt in seiner eigenen Kommunikation.

Und das Wichtigste: Die Menge wächst mit der Kette. Moneros Privatsphäre wird mit der Zeit stärker statt schwächer. Das kehrt die Logik von Abschnitt 1 um.

4. Wie das technisch funktioniert #

Grob, ohne Formeln.

Alle Outputs der Kette werden in eine Baumstruktur einsortiert, einen sogenannten Curve Tree. Er funktioniert ähnlich wie ein Merkle-Baum, den du vielleicht von Bitcoin kennst: Viele Blätter werden paarweise zu Knoten zusammengefasst, bis oben eine einzige Wurzel steht. Wer die Wurzel kennt, kann prüfen, ob ein Blatt dazugehört.

Der Unterschied zum Merkle-Baum: Ein Curve Tree ist so gebaut, dass du die Zugehörigkeit beweisen kannst, ohne den Pfad zu zeigen. Der Beweis verrät nicht, welches Blatt du meinst. Möglich wird das durch einen Zyklus elliptischer Kurven und durch generalisierte Bulletproofs, ein Beweissystem, das Monero seit 2018 in verwandter Form für Beträge nutzt.

Der entscheidende Effekt ist die Skalierung. Die Beweisgröße wächst nur logarithmisch mit der Zahl der Outputs. Verdoppelt sich die Kette, wächst der Beweis um einen konstanten kleinen Betrag statt um das Doppelte. Genau deshalb ist eine Anonymitätsmenge von hundert Millionen überhaupt bezahlbar, während ein Ring von tausend es nicht wäre.

Zwei Fähigkeiten kommen als Nebenprodukt dazu, weil FCMP++ Mitgliedschaft und Ausgabeberechtigung sauber trennt:

  • Transaction Chaining. Du kannst eine Ausgabe autorisieren, bevor die vorherige Transaktion in einem Block steht.
  • Outgoing View Keys. Ein Schlüssel, der ausgehende Zahlungen sichtbar macht, ohne Ausgaberecht. Nützlich für Buchhaltung und Prüfungen.

Beide werden mit dem Upgrade auf Protokollebene möglich. Ob und wann Wallets sie anbieten, ist eine eigene Frage.

5. Was CARROT ist und warum es dazugehört #

FCMP++ ändert, wie du beweist, dass ein Output dir gehört. CARROT ändert, wie Outputs überhaupt an dich adressiert werden. Beides wird zusammen ausgeliefert, weil das eine ohne das andere seinen Zweck verfehlt.

CARROT ist ein Adressierungs- und Enote-Protokoll, spezifiziert von jeffro256, aufbauend auf tevadors Arbeit an Jamtis. Ein Enote ist ein Transaktions-Output samt der Daten, die dein Wallet braucht, um ihn zu erkennen. CARROT löst vier Dinge:

Forward Secrecy. Das ist der Grund, warum CARROT nicht optional ist. FCMP++ verbirgt den Absender auch gegenüber einem Angreifer, der das diskrete Logarithmus-Problem lösen könnte, etwa mit einem hinreichend leistungsfähigen Quantencomputer. Bliebe das alte Adressierungsprotokoll unverändert, könnte derselbe Angreifer den Transaktionsgraphen rückwirkend offenlegen. Der eine Fortschritt wäre durch die alte Schwäche entwertet.

Burning Bug. Ein Angreifer konnte einen Output-Pubkey duplizieren und ein zweites Enote mit Betrag 0 erzeugen. Dein Wallet erkannte beide als deine und zeigte ein zu hohes Guthaben. Weil Key Images an den Output-Pubkey gebunden sind, konntest du aber nur eines der beiden ausgeben. Gabst du das leere zuerst aus, verbrannten die Mittel im anderen. CARROT bindet den Output an einen eindeutigen Input-Kontext und macht das unmöglich.

Janus-Angriff. Ein Angreifer sendet an zwei deiner Subadressen so, dass er aus deinem Verhalten ablesen kann, ob beide zur selben Wallet gehören. CARROT führt dafür einen Janus-Anker ein, mit dem der Empfänger einen solchen Output erkennt.

Outgoing View Keys. Die in Abschnitt 4 genannte Fähigkeit wird hier tatsächlich nutzbar.

Ein Punkt, den viele Texte falsch darstellen: CARROT wurde bewusst so entworfen, dass bestehende Monero-Adressen weiter funktionieren und auf der Kette nicht von neuen unterscheidbar sind. Die neuen Komfort- und Sicherheitsfunktionen hängen allerdings an einer neuen Schlüsselhierarchie. Wallets, die mit der alten Hierarchie erzeugt wurden, erben sie nicht automatisch.

Auf der Kostenseite: CARROT vergrößert ein Enote pro Output von 73 auf 91 Byte, also um 18 Byte. Das ist der Preis für Janus-Anker und den neuen View-Tag.

6. Was sich für dich ändert #

Churning wird überflüssig. Churning bedeutet, dass du XMR an dich selbst sendest, um die Ringauswahl zu verwässern. Der Nutzen war schon immer umstritten, und mit FCMP++ entfällt die Grundlage vollständig. Es gibt keine Ringauswahl mehr, die man verbessern könnte.

Deine Adressen bleiben gültig. Du musst keine neue Wallet anlegen, um Zahlungen zu empfangen.

Deine alten Transaktionen profitieren. Die Forward Secrecy aus CARROT schützt die Privatsphäre vergangener Transaktionen gegen einen künftigen Angreifer, der elliptische Kurven bricht.

Transaktionen werden anders aussehen. Beweisgröße, Transaktionsgröße und Verifikationszeit ändern sich, und damit indirekt auch die Gebühren. Wir nennen hier bewusst keine Zahlen. Die Werte, die derzeit im Netz kursieren, stammen aus Messungen auf dem Stressnet oder aus Texten ohne jede Quelle. Belastbare Angaben wird es erst mit der Ankündigung des Netzwerk-Upgrades geben. Wir tragen sie dann hier nach.

Du musst aktualisieren. Ein Netzwerk-Upgrade ist ein Konsenswechsel. Eine Node, die nicht aktualisiert wird, folgt der Kette nicht mehr.

Hardware-Wallets brauchen neue Firmware. Ob und wann Ledger und Trezor sie liefern, ist zum Zeitpunkt der letzten Prüfung öffentlich nicht bekannt. Verbindliche Aussagen der Hersteller liegen nicht vor. Bekannt ist nur, dass die Stressnet-Software Hardware-Wallets, Multisig und Watch-only-Wallets bislang nicht unterstützt und dass ein Entwickler die Unterstützung der Hersteller als offene Aufgabe führt. Wenn du größere Beträge auf einer Hardware-Wallet hältst, verlasse dich nicht darauf, dass die Firmware am Tag des Upgrades bereitsteht.

7. Was FCMP++ nicht löst #

Das Upgrade härtet die Kette. Deine Privatsphäre entsteht aber nicht nur dort. Das ist keine Kritik am Protokoll, sondern der Grund, warum Werkzeuge allein nie ausreichen.

  • Netzwerkebene. Wer deine IP-Adresse mit deiner Transaktion verknüpft, muss keinen Beweis brechen. Eine eigene Node oder Tor bleiben notwendig.
  • Endgerät. Ein kompromittierter Rechner sieht alles, bevor irgendein Beweis entsteht.
  • Ein- und Ausstieg. Kaufst du XMR auf einer Börse mit Identitätsprüfung, ist der Zusammenhang zwischen dir und dem Kauf dokumentiert. Daran ändert FCMP++ nichts.
  • Marktebene. Sehr große Käufe sind an der Orderbuchtiefe ablesbar, auch wenn die Kette schweigt.
  • Quantenresistenz der Ausgabe. FCMP++ bringt Forward Secrecy für die Privatsphäre vergangener Transaktionen. Es ersetzt nicht die Verfahren, die dein Guthaben heute zum Ausgeben autorisieren. Diese beruhen weiterhin auf elliptischen Kurven. Wer schreibt, Monero sei nach FCMP++ quantensicher, irrt.

8. Stand und Zeitplan #

Dieser Abschnitt veraltet am schnellsten. Er ist geprüft zum 10. Juli 2026.

Die Entwicklung läuft über zwei Testnetze, die absichtlich unter Last gesetzt werden.

  • Alpha-Stressnet. Am 3. Oktober 2025 als Fork des Testnets bei Block 2.847.330 gestartet. Ausdrücklich Alpha-Software. Hardware-Wallets, Multisig, Watch-only-Wallets, Transaktions-Proofs und ein Block-Explorer wurden nicht unterstützt.
  • Beta-Stressnet. Seit dem 6. Mai 2026 live, gestartet bei Block 2.997.100, erstmals mit CARROT im Verbund und mit den geplanten Aktivierungsparametern.
  • Integration. Der zuständige GitHub-Meilenstein lag Ende April bei 32 Prozent und Anfang Juli bei rund 51 Prozent. Mehrere Kryptographie-Pull-Requests tragen weiterhin den Status “pending review” oder “audit pending”.

Geprüft wird mehrfach und unabhängig. Veridise auditierte 2025 die Schaltung des Membership-Proofs. Trail of Bits auditierte vom 11. bis 22. Mai 2026 die Integration von FCMP++ 1a/1b in die Codebasis. Cypher Stack führt einen Implementierungs-Audit durch und hat zuvor bereits die CARROT-Spezifikation geprüft. Der öffentliche Zwischenstand vom 3. Juni 2026: Phase 1 des Trail-of-Bits-Audits ist abgeschlossen, der Cypher-Stack-Audit befindet sich in aktiver Prüfung, und bislang sind keine kritischen oder schwerwiegenden Befunde aufgetreten, sondern nur informationelle. Das ist ein gutes Zwischenergebnis und kein Freibrief, denn die Prüfung ist nicht abgeschlossen.

Die aktuelle Mainnet-Software ist monerod 0.18.5.0 “Fluorine Fermi” vom 11. Mai 2026. Sie ergänzt SOCKS-v5-Unterstützung, entfernt UPnP und behebt eine große Zahl an Fehlern. Sie enthält keinen FCMP++-Code.

Ein Termin für das Netzwerk-Upgrade existiert nicht. Unabhängige Einschätzungen nennen einen Korridor von sechs bis zwölf Monaten ab dem Beta-Stressnet, also Ende 2026 bis Anfang 2027. Das ist eine Schätzung, keine Ankündigung.

Vorsicht bei Berichten über FCMP++ Zahlreiche Texte stellen FCMP++ als bereits aktiviert dar, oft mit einem Datum im Januar oder Mai 2026, meist auf Seiten, die anschließend einen Tauschdienst bewerben. Prüfe drei Dinge: Behauptet der Text eine Mainnet-Aktivierung? Nennt er Monero “quantensicher”? Fehlt eine Primärquelle? Belastbar sind getmonero.org, das Repository monero-project/monero und die Protokolle des Monero Research Lab.

9. Was du jetzt tun kannst #

  • Halte deine Node aktuell und plane vor dem Upgrade ein Wartungsfenster ein.
  • Prüfe bei jedem Download nicht nur den Hash, sondern die Signatur der Hash-Liste.
  • Beobachte die Firmware-Ankündigungen deines Hardware-Wallet-Herstellers.
  • Wenn du testen willst: auf dem Stressnet, mit Testgeld.
Stressnet ist kein Mainnet Verwende für das Beta-Stressnet niemals eine Seed-Phrase, die echte XMR schützt, und niemals dieselbe Wallet-Datei. Die Software ist ausdrücklich als Testsoftware gekennzeichnet und kann Fehler enthalten. Lege eine getrennte Wallet an und behandle deren Seed-Phrase trotzdem so sorgfältig wie jede andere.

Zusammenfassung #

Die Ringsignatur hat Monero zwölf Jahre lang gute Dienste geleistet, aber ihre Schwäche ist strukturell: eine kleine, aus Heuristiken gewählte Anonymitätsmenge, deren Schutz mit der Zeit abnimmt. FCMP++ ersetzt sie durch einen Beweis der Zugehörigkeit zur gesamten Kette, dessen Schutz mit der Zeit wächst. CARROT ergänzt die Adressierung so, dass dieser Fortschritt nicht an der alten Schwäche verpufft, und beseitigt nebenbei den Burning Bug und den Janus-Angriff. Beides zusammen ist der größte Eingriff in Moneros Transaktionsmodell seit RingCT. Es befindet sich im Juli 2026 in der Prüf- und Testphase, nicht im Betrieb. Was FCMP++ nicht ändert, ist ebenso wichtig: Netzwerk, Endgerät, Ein- und Ausstieg bleiben deine Verantwortung.

Quellen #

Primärquellen, nach Abschnitt geordnet: