PANAMA-STADT, 2. September 2026 — HashCow, ein Web3-Spielestudio und Unternehmen für nachweisbare Fairness-Infrastruktur, hat den Abschluss einer zweiten Smart-Contract-Auditrunde mit SolidProof für alle sechs seiner Verträge bekannt gegeben. Beide Auditrunden wurden vollständig auf einer öffentlichen Projektseite veröffentlicht, einschließlich der fünfundzwanzig Befunde, die weiterhin offen sind.

Dass die offenen Befunde veröffentlicht werden, ist der ungewöhnliche Teil, und hinter dieser Entscheidung steht eine Zahl. Rund 60% der Krypto-Plattformen, die zwischen Januar 2025 und Juli 2026 angegriffen wurden, hatten bereits ein unabhängiges Sicherheitsaudit abgeschlossen. Das sind 147 von 245 Vorfällen, und diese geprüften Plattformen machten 88.44% der im Zeitraum abgezogenen $3.63 Milliarden aus, wie aus dem 2026 State of Crypto Security Report von CoinGecko hervorgeht.

Der gleiche Bericht erklärt auch warum, und die Erklärung ist nicht, dass Auditoren versagen. Nur rund 11% der Vorfälle betrafen einen Fehler innerhalb des üblichen Audit-Scopes. Der Rest kam durch Türen herein, auf die ein Audit nie ausgerichtet war. Damit bleibt für Leser ein Problem, das nichts mit der Auditqualität zu tun hat: Ein Audit-Abzeichen auf einer Landingpage sagt Ihnen, dass eine Prüfung stattgefunden hat. Es sagt Ihnen nicht, was geprüft wurde, was der Prüfer gefunden hat oder was noch offen ist.

Was die Berichte tatsächlich sagen

Am Ende der zweiten Runde verzeichnen die Berichte keine Befunde mit kritischer, hoher oder mittlerer Schwere. Fünfundzwanzig Befunde bleiben offen. Alle sind von niedriger Schwere oder rein informativ, und alle sind im veröffentlichten Bericht mit ihrem aktuellen Status sichtbar, statt zusammengefasst zu werden.

Der Umfang ist ebenso festgelegt. Das Audit war an bestimmte Commits in HashCows öffentlichen Repositories gebunden und nicht an einen sich verändernden Branch, sodass ein Leser genau den Quellcode kompilieren kann, den die Auditoren gelesen haben, statt das, was das Repository heute enthält. Die Verträge sind in Solidity 0.8.34 gegen OpenZeppelin 5.0.2 geschrieben, ohne Proxy und ohne Upgrade-Pfad.

Auf dieses letzte Detail verweist das Unternehmen, wenn es gefragt wird, warum es Befunde veröffentlichen würde, die es noch nicht geschlossen hat, insbesondere in einem Markt, in dem Änderungen nach einem Audit aus einer Zusammenfassung allein schwer nachzuverfolgen sein können.

Unsere Verträge können nicht upgegradet werden, daher verpflichten wir uns dauerhaft zu Code, den jeder lesen kann. Wenn ein Leser unserer Zusammenfassung des Audits vertrauen muss statt dem Audit selbst, haben wir ihm eigentlich nichts gegeben. Die Veröffentlichung der Befunde, die wir nicht geschlossen haben, kostet uns eine sauberere Schlagzeile und verschafft uns einen Leser, der prüfen kann.

— Mark Lee, Gründer und CEO, HashCow

Auch die Tests werden veröffentlicht

Neben dem Audit veröffentlicht HashCow auch seine eigenen Testergebnisse: 694 Test-Assertions, 105 Static-Analysis-Ergebnisse, die ohne High-Schweregrad triagiert wurden, und 49 von 49 erfasste Mutationstests.

Die dritte Zahl ist in der Branche am seltensten und am aufschlussreichsten. Mutation Testing entfernt nacheinander jede Schutzprüfung in den Verträgen und führt die Testsuite erneut aus, nach dem Grundsatz, dass eine Testsuite, die auch ohne eine Schutzfunktion weiterhin besteht, diese Schutzfunktion nie wirklich getestet hat. Zwei Assertions im eigenen Repository von HashCow erwiesen sich auf diese Weise als aus dem falschen Grund erfolgreich und wurden umgeschrieben.

Was die Engine beweist und was nicht

Die geprüften Verträge liegen unterhalb von VegasLedger, der Fairness-Engine von HashCow. Ein Zufallszahlengenerator erzeugt das Spielergebnis, und eine verifizierbare Zufallsfunktion liefert den kryptografischen Beweis, dass das Ergebnis nicht verändert wurde. Die Ergebnisse werden in einen Merkle-Root gehasht, der auf der BNB Chain verankert ist, sodass jedes einzelne Ergebnis nach Ende der Sitzung gegen den Anker überprüft werden kann. Die Engine kann externen Studios als eigenständiges Produkt lizenziert werden.

HashCow ist ungewöhnlich präzise in Bezug auf die Grenzen davon. Der Anker belegt, dass ein Datensatz nach seiner Erstellung nicht verändert wurde. Er belegt nicht, dass die Menge der verankerten Datensätze vollständig ist, und sagt überhaupt nichts darüber aus, wie ein Spieler gespielt hat. Beide Grenzen werden in der Dokumentation des Unternehmens selbst genannt, statt sie den Lesern überlassen zu müssen.

Stand des Projekts

Das Team-KYC wurde mit SolidProof auf Tier Gold abgeschlossen. HCOW ist ein BEP-20-Token auf der BNB Chain mit einem festen Angebot von 200,000,000 und ohne Mint-Funktion im Vertrag. Der Token wurde nicht ausgegeben und an keiner Börse gelistet. Der Mainnet-Start steht noch aus.

Nichts davon macht ein Projekt sicher, und HashCow behauptet das auch nicht. Die CoinGecko-Zahlen erinnern daran, dass der Großteil der Verluste über Wege entsteht, die kein Audit abdecken sollte. Der Nutzen der vollständigen Veröffentlichung ist enger, aber praktischer: Die Frage verschiebt sich von der Vertrauenswürdigkeit des Projekts hin zur Überprüfbarkeit des Projekts.

Über HashCow

HashCow ist ein Web3-Spielestudio und Unternehmen für nachweisbare Fairness-Infrastruktur. Es entwickelt Spiele und die Fairness-Engine darunter und lizenziert diese Engine an externe Studios. HashCow wird von HASHCOW LABS INC. betrieben, einer sociedad anonima, die in Panama unter Public Registry Folio No. 155787645 registriert ist.

Links

Auditberichte:

Website:

Dokumentation:

X: https://x.com/HCOW_Official

Telegram: https://t.me/HASHCOWOfficial

Medienkontakt: work@hash-cow.io

Quelle für die Zahlen in den einleitenden Absätzen: CoinGecko, 2026 State of Crypto Security Report (245 Vorfälle, Januar 2025 bis Juli 2026).

Dies ist kein Angebot zum Verkauf von Wertpapieren und stellt keine Aussage zu Preis oder Rendite dar.