Poly Network: Die 610 Millionen Dollar wurden freiwillig verwendet – nicht aus Notwendigkeit.

Am 10. August 2021 hat eine unbenannte Gruppe etwa…610 Millionen Dollar von Poly NetworkEin Protokoll, das Token zwischen Blockchainen hin- und herbewegt. Es handelte sich dabei um den größten Diebstahl in der Kryptowährungsgeschichte. Innerhalb von drei Wochen waren fast alle Dollar wieder zurückgekehrt.Tether freisetzt die letzten gefrorenen 33,4 Millionen DollarDer Buchhaltung wurde ein voller Gewinn gemeldet. Die offizielle Geschichte ist also glücklich: Es war das größte Betrügenereignis aller Zeiten – und niemand verlor Geld.

Die kleinste „prüfbare“ Tatsache ist, dass keines dieser Gelder zurückgegeben werden musste. „Zurückerstattet“ beschreibt dabei eine Geste, keine Eigenschaft des Systems. Die Person, die das Geld nahm, entschied sich dafür, es zurückzugeben. Diese Unterscheidung – und nicht die Zahlen in den Schlagzeilen – ist der wichtige Faktor bezüglich der Investition: Der Mechanismus, durch den der Diebstahl möglich war, ist derselbe Mechanismus, der seitdem auch die „Cross-Chain-Brücken“ leeren lässt. Dieses Mal kommt das Geld normalerweise nicht zurück.

Was ein „Brücke“ eigentlich ist

Poly Network ist ein „Cross-Chain-Bridge“ – ein Software-Tool, mit dem Sie Tokens auf einer Blockchain festhalten können und gleichzeitig eine entsprechende Menge an Tokens auf einer anderen Blockchain erhalten. Für den Benutzer sieht es so aus, als würde man Assets hin- und her transferieren. In Wirklichkeit handelt es sich dabei um eine Art Verwaltungsstruktur. Die Tokens, die Sie auf der Empfangsblockchain halten, befinden sich irgendwo dort, kontrolliert von jemandem – entweder durch eine Reihe von Schlüsseln, einen Smart Contract oder eine Validierungsgruppe.

Das ist der Teil der Geschichte, der selten als Zusammenfassung dargestellt wird. Brücken werden als dezentralisierte Infrastruktur verkauft – doch ihre wirtschaftliche Struktur ist eher wie bei einer zentralisierten Einrichtung: Ein einziger Ort, an dem Wert gespeichert wird, und dieser Ort soll es ermöglichen, frei zu handeln. Genau diese Konzentration ist es, worauf die Hacker abzielen – deshalb sind die teuersten Fehler in der Branche meist Fehler bezüglich der Brücken. Poly Network wurde betroffen, als ein anonymer Akteur eine Schwachstelle in der Logik der Smart-Contracts der Brücke ausnutzte und seinen gesamten Wert in einer einzigen Transaktion abheben konnte – ohne die entsprechenden privaten Schlüssel zu besitzen.

Die letztendlich wichtige Verteidigungsstrategie war nicht ein Schatzkasten oder ein Versicherungsfonds. Es war vielmehr die Tether-Technologie, die durch eine integrierte Sicherheitsmaßnahme geschützt wurde.$33,4 Millionen von den gestohlenen USDT wurden zurückgeholt.Und der Angreifer – später als „Mr. White Hat“ bezeichnet – entschied sich dafür, den Rest zurückzuschicken. Die Kommunikation erfolgte Schritt für Schritt durch Notizen, die in die Transaktionen eingefügt wurden. An einem bestimmten Punkt ließ er sogar etwas zurück.268 Millionen Dollar wurden auf eine „Brieftasche“ gesetzt – eine Brieftasche, die sowohl den Schlüsseln des Protokolls als auch denen des Angreifers bedürfte.Man muss etwas tun. Eine einzige Partei könnte diese Mittel für immer unzugänglich machen. Die vollständige Wiederherstellung hängt davon ab, ob diese Partei anders entscheidet.

zurückgegeben – nicht wiederhergestellt

Das ist das, was die nachfolgenden Aufzeichnungen zeigen. Schauen Sie sich die Brücken an, die danach entstanden sind – mit derselben Konzentration und derselben Angriffsfläche – abgesehen von den kooperativen Nutzern:

• Ronin (März 2022): ungefähr$624 Millionen wurden eingezogen.. Etwa 6 Prozent haben sich erholt..
• Wormhole (Februar 2022): ungefähr326 MillionenDas Herkunftsunternehmen hat das gestohlene ETH aus seinen Reserven zurückgeholt – also aus den eigenen Kontobeständen des Opfers, nicht durch eine Rückzahlung.
• Nomad (August 2022): ungefähr190 Millionen DollarDas Geld wurde bei einem „crowd-sourced“-Raubüberfall abgehoben.Ungefähr ein Fünftel kehrte zurück..
• Harmony Horizon (Juni 2022): Informationen dazu100 MillionenIm Grunde wurde nichts wiederhergestellt.

Im Jahr 2022 hat Chainalysis eine Zahl erreicht.Rund 2 Milliarden Dollar wurden in 13 verschiedenen Angriffen auf Brücken gestohlen.Und die Brücken stellten etwa…69 Prozent aller gestohlenen Mittel im Jahr wurden aus diesem Bereich entwendet.Der laufende Buchhaltungsbericht von DefiLlama gibt an, dass die Gesamtschäden durch die Brückenverbindungen beträchtlich sind.Mehr als 2,8 Milliarden DollarRund 40 Prozent jedes Geldes, das je im Web3 erhalten wurde, gehen an Poly Network. Die volle Rendite von Poly Network ist jedoch eine Ausnahme in diesem System – nicht die Regel.

Das Muster wiederholte sich sogar letzte Woche. Letzten Sonntag gab es eine Bitcoin-Sidechain namens Liquid Network – diese hatte etwa…320 Millionen Dollar wurden aus der Föderation entnommen.Eine „White-Hat“-GruppeVon den 4.000 BTC, die genommen wurden, sind 3.400 zurückgegeben worden.– etwa 85 % – während man das Ganze im Grunde beibehält.47 Millionen Dollar als offensichtliche BelohnungDerselbe Text – fünf Jahre später: Jemand hat die gesamte Vermögensbasis entfernt, und anschließend hat er den Großteil davon auf seine eigene Weise zurückgegeben.

Was sollte ein Investor aus dem Schlagzeileninhalt „Hack, aber zurückgezahlt“ lernen?

Hier ist keine Beteiligung an Aktien – Poly Network ist eine Protokolleinfrastruktur, kein Aktiensegment. Die Nützlichkeit besteht also darin, wie man das Risiko in jeder Kryptoposition erkennt, die man hält oder die man erhält. Betrachten Sie die Ergebnismitteilungen genauso, wie Sie jede Nachricht betrachten würden, die die Sicherheit eines Assets verbessert: Überprüfen Sie erst, was dazu geführt hat, bevor Sie diese als „angenehm“ einstufen.

Zwei Fragen trennen die verschiedenen Fälle voneinander. Erstens: Wer hatte die Schlüssel in der Hand? Ein „Brücke“, ein Austauschprozess oder eine Aufsichtsstruktur – deren Wert hinter einer kleinen Anzahl von Schlüsseln oder einem begrenzten Validierungskörper liegt – stellt einen einzigen Ausfallpunkt dar, unabhängig davon, wie dezentral das System ist. Die Fälle Ronin und Harmony zeigen genau dieses Problem. Zweitens: War die Rückgabe vertraglich geregelt oder aus freien Stücken erfolgt? Wenn die Rückgabe von der guten Willensentscheidung einer Partei abhängt – also vom Bilanzvermögen des Angreifers oder einer Elterngesellschaft – dann gibt es tatsächlich ein Risiko. Das Geld wurde zurückgegeben, aber das Risiko blieb bestehen. Die historische Realität zeigt, dass die Rückgabe nur einen winzigen Prozentsatz des ursprünglichen Betrags beträgt, nicht jedoch vollständig.

Die Falle besteht darin, dass die Identität des Täters im Originaltitel als „Mr. White Hat“ dargestellt wird. Ein Dieb, der das Geld zurückgegeben hat, wurde so neu benannt – und der Diebstahl wurde zu einer Geschichte über einen guten Schauspieler, der ein Fehler in dem System aufdeckt. Doch diese Neubenennung verdeckt das, was die Aufzeichnungen tatsächlich zeigen: Der Code, der das gesamte Vermögen schützte, konnte durch eine Transaktion leicht ausgeräumt werden. Keine Methode – weder eine Überprüfung noch eine Mehrzahl von Unterschriften noch irgendeine Art von Dezentralisierung – konnte dies verhindern. Was das verhinderte, war lediglich die Entscheidung desselben Mannes, der das Geld ausgeräumt hat.

Eine saubere Trennbedingung sorgt dafür, dass die Informationen ehrlich bleiben. Falls in einer zukünftigen Situation – beispielsweise bei einem Brückeneinbruch oder einer Aufbewahrungsproblematik – ein Mechanismus zur Abwicklung des Schadens durch Dritte – wie eine Versicherung, eine finanzierte Garantie oder ein staatlich anerkannter Reservationsmechanismus – den größten Teil des Schadens abdeckt, ohne dass der Angreifer mitwirkt, dann ändert sich das Urteil des marginalen Käufers. Denn die Sicherheit wird dann strukturell und nicht mehr rein freiwillig sein. Bis dieses Phänomen auftritt, ist „Rückgabe“ ein Ergebnis, das erfasst werden muss – nicht ein Design, das bewertet werden soll.

Die fünfjährige Wiederholung der Handlung bei Liquid ist das Pendant zu dieser Situation: Das gleiche Vorgehen führte wieder zu dem gleichen Schlagzeilenbild – „Die meisten der Assets kehren zurück“. Doch das gleiche Problem bleibt unerwähnt: etwa 47 Millionen Dollar bleiben auf die Bedingungen des Angreifers – und werden in der positiven Berichterstattung nicht erwähnt. Es ist wichtig herauszufinden, wer eigentlich die Assets besitzt und wer entscheidet, ob sie zurückgegeben werden oder nicht. In dieser Asset-Klasse liegt also der Unterschied zwischen einer Schlagzeile und einem tatsächlichen Ergebnis.