Mutmaßlicher Binance-Megahack zeigt: Die Verwahrung bleibt Kryptos Schwachstelle

Krypto sollte überflüssig machen, einem Mittelsmann das eigene Geld anzuvertrauen. Warum geht es in der größten Geschichte der Woche dann um einen Mittelsmann, der Berichten zufolge Milliarden verloren hat?

Das ist der bisherige Stand, und die Zahlen ändern sich weiter. Binance erklärte, man sei sich „eines potenziellen Sicherheitsproblems“ bewusst und habe „keine Auswirkungen auf Nutzergelder bestätigt“, wie Express berichtet. Die Börse setzte die Auszahlungen aus. Frühe Berichte sprachen von plötzlich abgezogenen 2,8 Milliarden Dollar; mehr als 2 Milliarden Dollar in Ethereum und Tokens verließen demnach die Hot Wallets in Richtung einer Adresse, die erst Stunden zuvor angelegt worden war. Spätere Zählungen lagen höher: Eine von Yahoo Finance zitierte On-Chain-Auswertung beziffert den Abfluss auf 5,57 Milliarden Dollar über drei Blockchains, wobei Tether und Circle 1,8 Milliarden Dollar einfroren. Gründer Changpeng Zhao sagte, die Verluste könnten 1 Milliarde Dollar übersteigen, würden aber gedeckt. Diese Zahlen widersprechen sich, und Binance hat die Gesamtsumme nicht bestätigt. Die Schlagzeilenzahl ist daher als Schätzung zu behandeln.

Unabhängig davon setzte Polymarket den Handel aus, nachdem einer seiner externen Dienstleister kompromittiert worden war und bei einigen Nutzern die Konten geleert wurden. Wired berichtet, der Handel laufe wieder, und betroffene Trader würden vollständig entschädigt. Die Verluste liegen Berichten zufolge im niedrigen Millionenbereich. Polymarket macht einen externen Dienstleister verantwortlich; die beiden Vorfälle fielen offenbar schlicht auf denselben Tag.

Das Versagen zeigt sich immer an derselben Stelle

Andere Größenordnung, andere Mechanik, dieselbe Lehre: Jemand hält Schlüssel oder Zugriff im Auftrag der Nutzer, und wenn dieser Jemand gehackt wird, zahlen die Nutzer. Bei Binance stammte der gemeldete Verlust aus Hot Wallets, jenem Teil einer Börse, der verbunden bleiben muss, um Auszahlungen abzuwickeln. Bei Polymarket war es ein Dienstleister in der Kette. Binance hat nicht gesagt, wie die Angreifer eindrangen, daher lässt sich nicht sagen, was dort versagt hat. Doch nichts bislang Berichtetes deutet auf einen exotischen kryptografischen Bruch hin; unsere Vermutung lautet: ganz gewöhnliches Betriebsrisiko im Blockchain-Kostüm.

Das ist der unbequeme Punkt. Die Protokolle unter diesen Systemen können solide sein, während die Unternehmen darum herum ein Single Point of Failure bleiben. Unserer Ansicht nach verkauft die Branche „dezentral“ weiterhin als Lebensgefühl, bittet die Nutzer aber, ihr Geld in sehr zentralisierte Töpfe einzuzahlen.

Proof of Reserves ist nötig, aber bei Weitem nicht genug

Die naheliegende Reaktion ist, von jeder Börse einen Proof of Reserves zu verlangen. Dem stimmen wir zu, mit einer Einschränkung. Ein Proof of Reserves zeigt, ob die Vermögenswerte existieren. Über die Frage, ob ein Angreifer sie morgen davontragen kann, sagt er wenig aus. Eine zahlungsfähige Börse mit nachlässigen Hot-Wallet-Kontrollen ist nur einen schlechten Nachmittag von einem Auszahlungsstopp entfernt.

Die Forderung sollte daher weiter gehen: veröffentlichte, unabhängige Sicherheitsaudits; klare Angaben dazu, wie viel in Hot und wie viel in Cold Storage liegt; und ein Konzept für Lieferantenrisiken, das über „ein Dritter wurde kompromittiert“ hinausgeht. Der Fall Polymarket erinnert daran, dass die eigene Sicherheit nur so gut ist wie der schwächste Zulieferer, von dem man abhängt.

Auch die Aufsicht hat eine Rolle. Offenlegungsstandards, die Börsen verpflichten, ihre Verwahrungsarchitektur und ihr Vorgehen bei Vorfällen in verständlicher Sprache darzulegen, würden mehr bewirken als eine weitere Runde beruhigender Tweets. „Nutzergelder sind sicher“ ist ein Satz, kein Audit.

Auch die Rettung war zentralisiert – und das hat zwei Seiten

Eine Ironie verdient Beachtung. Ein Großteil der Schadensbegrenzung kam von Stablecoin-Emittenten. Tether fror mehr als 1,567 Milliarden USDT ein, und Jeremy Allaire von Circle erklärte, in Abstimmung mit den Strafverfolgungsbehörden mehr als 800 Millionen USDC eingefroren zu haben. Zhao dankte zudem Ripple dafür, rund 200 Millionen Dollar eingefroren zu haben. Das sind gute Nachrichten für alle, deren Geld diese Woche auf dem Spiel steht. Es zeigt aber auch, dass als „permissionless“ verkaufte Vermögenswerte von wenigen Unternehmen abgeschaltet werden können, wenn diese es beschließen.

Wir würden das nicht als Fehler bezeichnen. Es ist ein Zielkonflikt, den die Branche selten ehrlich benennt: Dieselbe Zentralisierung, die den Single Point of Failure schafft, liefert auch die Notbremse. Und die Bremse wirkt nur bei Vermögenswerten, die jemand kontrolliert. Eine unbestätigte Aufschlüsselung im Netz behauptet, die Beute habe rund 1,45 Milliarden Dollar in Bitcoin und 875 Millionen Dollar in Ether umfasst. Diese Zahlen sind mit Vorsicht zu genießen; sollten sie aber auch nur annähernd stimmen, steckt ein großer Teil des Verlusts in Werten, die Emittenten nicht einfach einfrieren können.

Das Börsenguthaben als Darlehen betrachten, nicht als Eigentum

Wer Geld auf einer Börse hält, sollte dieses Guthaben als Darlehen an ein Unternehmen verstehen und nicht als Eigentum. Auf einer Plattform sollte nur liegen, was man bereit ist, tagelang eingefroren zu sehen. Langfristige Bestände gehören in die Selbstverwahrung, sofern man die Verantwortung dafür tragen kann. Skepsis ist gegenüber jeder Plattform angebracht, die auf einen Einbruch mit Beschwichtigung statt mit Daten antwortet.

Unser Urteil: Binance könnte durchaus alle Nutzer entschädigen, und wir hoffen, dass es das tut. Aber Zhaos „wird abdecken“ ist ein Versprechen, keine Sicherung, und er selbst wies darauf hin, dass er Binance nicht mehr leite und als Anteilseigner spreche. Die Branche wird solche Wochen weiter erleben, bis Nutzer und die Aufsichtsbehörden, die für sie sprechen, überprüfbare Sicherheit zur Bedingung für das Geschäft machen statt zur Werbefloskel.