Mutmaßlich nordkoreanische Hacker leerten letzte Woche die Krypto-Börse Bitget um 387,5 Millionen US-Dollar, und die Ermittler markierten und verfolgten die Empfängeradressen rasch. Der Bitget-CEO Gracy Chen erhob daraufhin eine umstrittene Forderung: Die dezentrale Cross-Chain-Swap-Plattform THORChain solle diesen Adressen „den Dienst verweigern“.

THORChain widersprach und erklärte: „THORChain ist dezentral und permissionlos wie Bitcoin, Ethereum und BNB Chain. Welche Verantwortung tragen Bitcoin, Ethereum und BNB Chain, wenn sie bekannte gestohlene Mittel durchleiten?“ Die Konfrontation hat eine Frage verschärft, die weit über einen einzelnen Hack hinausreicht: Wie viel Kontrolle kann ein dezentrales Protokoll ausüben, bevor es den rechtlichen Schutz verliert, den echte Dezentralisierung bietet?

Die Weigerung stieß auf sofortige Kritik, insbesondere weil das Protokoll im Mai ohne Zögern angehalten hatte, als eigene Mittel in Höhe von 10,7 Millionen US-Dollar durch einen Exploit abgeflossen waren. Zusätzlich erschwerend kommt hinzu, dass THORChain seinen Admin-Key außer Betrieb genommen hat und erklärt, es gebe keinen einfachen Weg, Adressen zu sperren – selbst wenn man es wollte.

Die Kontroverse ist nicht ohne Präzedenzfall. THORChain wurde zuvor genutzt, um rund 1,2 Milliarden US-Dollar der bei dem 1,46-Milliarden-Dollar-Hack der Börse Bybit gestohlenen Mittel zu tauschen – ein Vorfall, der sich zufällig nur 11 Tage nachdem das Protokoll seinen Admin-Key stillgelegt hatte, ereignete. Und da THORChain eine Tauschplattform und kein Mixer ist, bleiben Mittel, die hindurchfließen, auch nach dem Verlassen der anderen Seite on-chain nachverfolgbar.

NEAR Intents schlug den entgegengesetzten Weg ein. Sein automatisiertes SHIELD-Programm blockierte Adressen, die mit dem Hack in Verbindung stehen, am Tausch von 50 Millionen USollar auf der Plattform und lehnte sogar die 5%-Prämie ab, die Bitget dafür angeboten hatte. Nun gerät NEAR Intents von Dezentralisierungs-Maximalisten unter Beschuss, weil es nicht permissionlos genug sei.

Um die rechtlichen Fragen zu beleuchten, sprach Magazine mit Yuriy Brisov von D&A Partners. Es folgt eine gekürzte Fassung des Gesprächs.

Magazine: Bitget bat THORChain, die mit dem Hack in Verbindung stehenden Mittel zu blockieren, und das Protokoll antwortete, es sei dezentral und permissionlos. Ist das eine rechtliche Verteidigung? Besteht eine Verpflichtung, diese Adressen zu blockieren?

Brisov: Das hängt vom Grad der Dezentralisierung ab. Wenn sie Adressen blockieren, zeigen sie, dass ihre Knoten nicht wirklich dezentral sind. Das ist gut für die Community, wenn diese Macht eingesetzt wird, um bösartige Aktivitäten zu verhindern – aber gleichzeitig öffnet es das Projekt für beliebige andere rechtliche Ansprüche. Ihr einziger Schutz lautet: „Wir sind dezentral.“

Im Fall von Uniswap sagten sie: „Wir sind wirklich dezentral, und wir können nichts tun.“ [Anleger hatten Uniswap verklagt, nachdem sie 38 Rugpull- und Scam-Token gekauft hatten, doch ein Richter wies die Klage im März ab – Red.] Das ist die stärkste Verteidigung, die einem DeFi-Protokoll zur Verfügung steht. Zeigt ein Projekt, dass es blockieren, kontrollieren oder anderweitig eingreifen kann – selbst in einem gutgläubigen Versuch, Betrug zu verhindern –, setzt es sich dem Argument aus, seine Kontrolle dürfe sich nicht auf offensichtliche Betrugsfälle beschränken. Kläger können darauf bestehen, dass das Projekt auch Sorgfaltsprüfungsaufgaben übernehmen, KYC anwenden und AML-Schutzmaßnahmen ergreifen sollte.

Verwandt: Uniswap weist Sammelklage ab, derzufolge es Krypto-„Rugpulls“ unterstützt habe

Magazine: NEAR Intents blockierte diese Adressen, und Bitget dankte der Plattform dafür. Bedeutet das, dass NEAR gezeigt hat, dass Intents nicht dezentral ist, und daher in vielen anderen Situationen eingreifen müsste?

Brisov: Wenn Sie nachweisen, dass Sie Kontrolle über Vermögenswerte haben, öffnen Sie sich potenziell für jede Art von Anspruch – Pump-and-Dump-Schemata, Volatilität oder jede andere Beschwerde von Anlegern, die irgendwie geschädigt oder beeinträchtigt wurden. Man kann nun sagen: Du hast Kontrolle. Warum hast du sie in einem Fall eingesetzt und in einem anderen nicht? Warum prüfst du nicht alle Token-Herausgeber auf deiner Plattform? Warum stellt ihr keine KYC-Formulare bereit wie jede zentralisierte Börse?

Magazine: THORChain argumentiert, dass der Protokollstopp im Mai zunächst durch ein automatisiertes System ausgelöst wurde und dass es nicht in der Lage ist, bestimmte Adressen zu blockieren. Stimmt das, ist das eine Verteidigung?

Brisov: Möglicherweise. Wir wissen es noch nicht, weil es noch nicht angefochten wurde. Aber jede noch so kleine Kontrolle macht jedes DeFi-Projekt gegenüber jedem Anspruchsteller schwächer.

Magazine: Andererseits könnte das Protokoll seine Software aktualisieren, wenn es bestimmte Adressen blockieren wollte. Könnte ein Projekt in rechtliche Schwierigkeiten geraten wegen Leichtfertigkeit oder Nachlässigkeit, wenn es solche Maßnahmen ablehnt?

Brisov: Das hängt davon ab, es technisch umgesetzt wird. Angenommen, ein Oracle kann jede nordkoreanische IP-Adresse erkennen und automatisch blockieren, ohne dass jemand dasitzt und einen Knopf drückt – „da ist ein nordkoreanischer Hacker, sperren wir ihn.“ Dann ist es in Ordnung. Aber wenn ein Team die Lage überwacht und sagt: „Wir sehen, das ist illegale Aktivität, sperren wir diese Adressen“, und den Knopf manuell drückt, dann ist das Projekt aus rechtlicher Sicht – obwohl es eine gute Tat ist, die der Community nützt – nicht vollständig dezentral im rechtlichen Sinne. Das beraubt einen des Schutzes, den Regulierungen wie MiCA [die EU-Marktregulierung für Krypto-Assets] oder das allgemeine Verständnis von SEC und CFTC bieten: dass man, wenn man vollständig dezentral ist, nicht für die Handlungen der Teilnehmer im eigenen Ökosystem haftbar gemacht werden kann.

Magazine: NEARs Technologie heißt SHIELD. Sie identifiziert automatisch Adressen, die mit bekannten Hacks auf öffentlichen Blockchains in Verbindung stehen, und blockiert sie automatisch vom Zugang zu Intents. Bedeutet das, dass sie eher als dezentral angesehen wird?

Brisov: Auf jeden Fall. Sie zeigen, dass sie gutgläubige Akteure sind, die Schutzmaßnahmen in ihre Protokolle einbauen. Es gibt kein Compliance-Team von Menschen, die dasitzt und den Betrieb manuell kontrolliert. Das ist eine kluge Lösung, und genau das empfehlen wir allen DeFi-Unternehmen.

Magazine: Im Februar 2025 hat THORChain den Admin-Key außer Betrieb genommen, der dem Kernteam einseitige Änderungen dieser Art ermöglicht hätte. Ist das Protokoll angesichts des fehlenden Admin-Keys und der Tatsache, dass es mit hundert Validatoren läuft, ausreichend dezentral?

Brisov: Höchstwahrscheinlich, aber wir können es nicht mit Sicherheit sagen. Ich würde ja sagen.

Magazine: THORChain ist kein Mixer. Gestohlene Bitget-Mittel können auf der Plattform getauscht werden, aber wenn sie am anderen Ende wieder herauskommen, bleiben sie transparent mit den Bitget-Hackern verknüpft. Wie passt das zur Definition der Geldwäsche? Oder ist es Hehlerei?

Brisov: Ich sehe nicht, wie sie für Geldwäsche haftbar gemacht werden könnten – selbst Tornado Cash, das bis zu einem gewissen Grad zur Geldwäsche geschaffen wurde, [entging US-Sanktionen, da unveränderliche Smart Contracts im Sinne der Geldwäsche kein sanktionierbares Eigentum sind – Red.] Das amerikanische Recht behandelt etwas entweder als Eigentum oder nicht als Eigentum. Geldwäsche bedeutet, Eigentum auf illegale Weise durch legale Kanäle zu bewegen: Man erwirtschaftet Erlöse aus illegaler Aktivität, das ist Eigentum, und dann bewegt man es durch bestimmte Kanäle und versucht, es zu legalisieren. Aber Smart Contracts sind überhaupt kein Eigentum. Man kontrolliert sie nicht. Man besitzt sie nicht. So hat Tornado Cash seinen Fall vor Gericht im Hinblick auf die OFAC-Sanktionen gewonnen – es hat einfach bewiesen, dass es keine Kontrolle über seine Smart Contracts hat.

Magazine: Der Bybit-Hack liegt 18 Monate zurück. Bedeutet das, dass keine rechtlichen Schritte gegen THORChain unternommen werden, oder dauern solche Fälle einfach lange?

Brisov: Es könnte definitiv in der Zukunft pass. Nach dem Bybit-Fall haben sie sich ernsthaft für mögliche Ansprüche geöffnet.

Vorerst ist das Dezentralisierungsargument des Protokolls rechtlich noch unerprobt – Brisov wies darauf hin, dass der automatisierte Stopp bisher nicht angefochten wurde –, und er sagte, mögliche Ansprüche im Zusammenhang mit dem Bybit-Vorfall könnten noch auftreten, Entwicklungen, die diese permissionlose Verteidigung direkt auf die Probe stellen würden.

Magazine: Big Questions: Besitzt Satoshi tatsächlich 1,1 Millionen Bitcoin?