30 Millionen Dollar: Ein Krypto-Rat machte Code nach Hack verhandelbar

Laut CoinDesk hat ein zwölfköpfiges Komitee bei Arbitrum kurz einen Kernvertrag geändert, 30 Millionen Dollar aus einer Adresse bewegt, für die es keinen Hackerschlüssel besaß, und den Code danach wieder zurückgesetzt. Das klingt nach sauberer Schadensbegrenzung. Es ist aber auch eine sehr teure Fußnote zur Lieblingsgeschichte der Branche: Code ist dann nicht Gesetz, sondern Verhandlungsmasse.

Eine bemerkenswerte Eigenschaft vieler Krypto-Debatten ist ihre Neigung zur Physik. Transaktionen seien unumkehrbar. Schlüssel seien Schicksal. Protokolle seien neutral. Dann kommt ein Hack, und plötzlich entdeckt ein Rat eine Tür im Maschinenraum. Die Tür war nicht geheim. Sie passte nur schlecht zur Broschüre.

Der private Schlüssel war plötzlich nur noch ein Detail

Der Vorgang bei Arbitrum trifft die Erzählung an einer empfindlichen Stelle. Laut CoinDesk schrieb das Komitee einen der zentralen Verträge vorübergehend um, um von einer Adresse auszugeben, deren privaten Schlüssel es nicht hatte. Ein privater Schlüssel ist in der Krypto-Welt normalerweise der Nachweis, dass man über eine Adresse verfügen darf. Ohne Schlüssel kein Zugriff. So lautet die einfache Version.

Die kompliziertere Version lautet: Wenn die Architektur es erlaubt, kann eine Gruppe mit ausreichender Macht den Pfad um den Schlüssel herum bauen. Genau das ist der interessante Teil. Nicht weil Opfer weniger Schutz verdienen. Sondern weil die Branche jahrelang ausgerechnet die Unveränderlichkeit als moralischen Vorteil gegenüber Banken verkauft hat. Banken frieren ein, prüfen, korrigieren, blockieren. Krypto tue das angeblich nicht. Krypto macht es nun auch, nur mit anderen Sitzungsprotokollen.

CoinDesk berichtet zudem, dass es bei Arbitrum bereits das zweite Mal in diesem Jahr war. Ein Einzelfall kann ein Unfall sein. Zwei Fälle sind ein Betriebsmodell mit schlechter PR.

Der Notausgang schützt Geld und beschädigt die Legende

Der nüchterne Vorteil liegt auf der Hand. Wenn gestohlene Gelder schnell bewegt oder gesichert werden können, sinkt der Schaden für Nutzer und Plattformen. In einer Branche, in der Hacks nicht die Ausnahme, sondern die wiederkehrende Brandschutzübung sind, klingt das vernünftig. Ein Notausgang ist besser als ein brennendes Gebäude mit perfekter Dezentralisierungsrhetorik.

Nur kostet dieser Ausgang etwas. Er verschiebt Vertrauen vom Code zu Menschen. Genauer: zu einem Rat, zu Prozessen, zu Zugriffsrechten und zu der Frage, wann ein Eingriff als Rettung gilt. Damit nähert sich Krypto ausgerechnet jenen Institutionen an, von denen es sich absetzen wollte. Der Unterschied liegt dann weniger im Prinzip als in der Besetzung des Kontrollraums.

Diese Gegenposition ist stark. Sie löst aber das Governance-Problem nicht auf. Sie verlagert es nur. Wenn ein Rat in der Krise helfen kann, kann er in einer anderen Krise auch falsch liegen. Oder zu spät handeln. Oder zu früh. Oder unter politischem, wirtschaftlichem oder sozialem Druck entscheiden. Das ist keine exotische Gefahr. Es ist Verwaltung. Nur nennt sie sich in Krypto gern Koordination.

Die Börsenkassen erzählen dieselbe Geschichte

Arbitrum steht damit nicht allein. CoinDesk meldete, dass Binance etwa die Hälfte seiner SAFU-Bitcoin ausgegeben hat. SAFU ist der Nutzerschutzfonds der Börse. Der Wert der eingesetzten Bitcoin lag laut CoinDesk bei rund 580 Millionen Dollar. Der Fonds liegt damit unter der Marke von 800 Millionen Dollar, bei der Binance nach eigenen Regeln auffüllen müsste. Wann die Börse das tut, sagte sie laut CoinDesk nicht.

Auch hier ist der trockene Teil fast komisch. Ein Schutzfonds schützt. Dann ist er kleiner. Dann soll er nach Regeln wieder größer werden. Und dann wartet der Markt auf eine Aussage, wann das geschieht. Das ist nicht die anarchische Finanzzukunft, die auf Konferenzen so gut klingt. Das ist Liquiditätsmanagement mit Krypto-Schriftart.

Der Fall Mercado Bitcoin verschärft das Bild. Die brasilianische Börse stoppte laut CoinDesk Ein- und Auszahlungen, nachdem Wallets auf mindestens zehn Chains geleert worden waren. Der Schaden lag demnach bei 40 Millionen Dollar. Der Vorfall kam wenige Tage nach dem Binance-Hack über 6,3 Milliarden Dollar, wie CoinDesk berichtet. In dieser Serie wirkt Arbitrum nicht wie ein Ausreißer, sondern wie ein Symptom.

Dezentralisierung endet dort, wo jemand unterschreiben muss

Die Krypto-Branche hat sich lange eine elegante Arbeitsteilung gegönnt. Der Code sollte das Vertrauen ersetzen. Die Community sollte die Werte bewachen. Die Nutzer sollten die Risiken tragen. In ruhigen Zeiten funktioniert diese Erzählung erstaunlich gut. In Stressphasen sucht jeder nach Namen, Zuständigkeiten und Kassenbeständen.

Genau dort wird die Debatte erwachsen. Nicht jeder Eingriff ist Verrat. Nicht jede Unveränderlichkeit ist Tugend. Aber wer Notausgänge baut, muss sie beschriften. Wer Räte ermächtigt, muss ihre Grenzen erklären. Wer Schutzfonds verspricht, muss sagen, wie schnell sie nachgefüllt werden. Sonst bleibt vom großen Gegenentwurf zum alten Finanzsystem vor allem dessen unattraktivste Eigenschaft übrig: Man vertraut Institutionen, während sie so tun, als seien sie keine.

Arbitrum hat offenbar Geld gerettet und zugleich eine Illusion beschädigt. Beides kann wahr sein. Die präzise Frage nach dem nächsten Hack lautet deshalb: Wer entscheidet, wann aus unveränderlichem Code ein Notausgang wird, und wer kontrolliert diese Entscheidung?