Vermoedelijke Noord-Koreaanse hackers looten vorige week $387,5 miljoen uit cryptoexchange Bitget, en onderzoekers schakelden snel om de ontvangstadressen te markeren en traceren. Bitget-CEO Gracy Chen diende vervolgens een controversiële eis in: dat het gedecentraliseerde cross-chain swaps-platform THORChain "de dienst aan deze adressen zou weigeren."

THORChain verzette zich daartegen en verklaarde: "THORChain is gedecentraliseerd en permissionless, net als Bitcoin, Ethereum en BNB Chain. Welke verantwoordelijkheid dragen Bitcoin, Ethereum en BNB Chain bij het verwerken van bekend gestolen fondsen?" Het conflict heeft een vraag scherper gemaakt die verder reikt dan één hack: hoeveel controle een gedecentraliseerd protocol mag uitoefenen voordat het de juridische bescherming verliest die echte decentralisatie biedt.

De weigering kreeg onmiddellijk kritiek, vooral omdat het protocol zichzelf in mei zonder aarzeling had stilgelegd toen $10,7 miljoen van zijn eigen fondsen werd geëxploiteerd. Het wordt nog complexer omdat THORChain zijn admin key heeft ingetrokken en stelt dat het geen eenvoudige manier heeft om adressen te censureren, zelfs niet als het dat zou willen.

De controverse is niet zonder precedent. THORChain werd eerder gebruikt om ongeveer $1,2 miljard van de fondsen te wisselen die waren gestolen bij de hack van $1,46 miljard op exchange Bybit — een episode die toevallig plaatsvond slechts 11 dagen nadat het protocol zijn admin key had ingetrokken. En omdat THORChain een swaplocatie is en geen mixer, blijven fondsen die erdoorheen gaan on-chain traceerbaar, zelfs nadat ze aan de kant naar buiten komen.

NEAR Intents nam de tegenovergestelde aanpak. Het automatische SHIELD-programma blokkeerde adressen die aan de hack waren gelinkt om $50 miljoen op het platform te wisselen, en weigerde zelfs de 5% bounty die Bitget daarvoor aanbood. Nu komt NEAR Intents onder vuur te liggen van decentralisatie-maximalisten omdat het niet permissionless genoeg zou zijn.

Om de juridische kwesties te ontleden, sprak Magazine met Yuriy Brisov van D&A Partners. Hieronder volgt een ingekorte versie van het gesprek.

Magazine: Bitget vroeg THORChain om fondsen te blokkeren die aan de hack zijn gelinkt, en het protocol antwoordde dat het gedecentraliseerd en permissionless is. Is dat een juridisch verweer? Heeft het de verplichting om die adressen te blokkeren?

Brisov: Dat hangt af van de mate van decentralisatie. Wanneer ze adressen blokkeren, laten ze zien dat hun nodes niet echt gedecentraliseerd zijn. Dat is goed voor de community wanneer die macht wordt gebruikt om kwaadwillende activiteit te voorkomen — maar tegelijkertijd opent het het project voor allerlei andere juridische claims. Hun enige bescherming is "wij zijn gedecentraliseerd."

In de Uniswap-zaak zeiden ze: "we zijn echt gedecentraliseerd en er is niets wat we kunnen doen." [Beleggers klaagden Uniswap aan nadat ze 38 rugpull- en scam-tokens hadden gekocht, maar een rechter verwierp de zaak in maart —red.] Dat is het sterkste verweer dat een DeFi-protocol tot zijn beschikking heeft. Als een project laat zien dat het kan blokkeren, controleren of anderszins ingrijpen — zelfs in een poging te goeder trouw fraude te voorkomen — stelt het zichzelf bloot aan het argument dat die controle niet beperkt zou moeten blijven tot duidelijke fraudegevallen. Eisers kunnen erop aandringen dat het project ook due diligence zou moeten uitvoeren, KYC zou moeten toepassen en AML-beschermingsmaatregelen zou moeten nemen.

Gerelateerd: Uniswap wint class action waarin werd beweerd dat het crypto-'rug pulls' assisteerde

Magazine: NEAR Intents blokkeerde die adressen, en Bitget bedankte het platform daarvoor. Betekent dat dat NEAR heeft aangetoond dat Intents niet gedecentraliseerd is en daarom in veel andere situaties zal moeten ingrijpen?

Brisov: Als je aantoont dat je controle over activa hebt, open je jezelf mogelijk voor elke soort claim — pump-and-dump-schema's, volatiliteit, of welke andere grief dan ook van beleggers die op een of andere manier zijn geschaad. Ze kunnen nu zeggen dat je controle hebt. Waarom gebruikte je die in het ene geval en niet in andere? Waarom controleer je niet alle token-uitgevers op je platform? Waarom leveren jullie geen KYC-formulieren zoals elke gecentraliseerde exchange?

Magazine: THORChain stelt dat de protocolstop in mei aanvankelijk werd veroorzaakt door een automatisch systeem en dat het niet in staat is om specifieke adressen te blokkeren. Als dat waar is, is dat dan een verweer?

Brisov: Dat zou het kunnen zijn. We weten het nog niet, omdat het nog niet is aangevochten. Maar elke vorm van controle maakt elk DeFi-project zwakker ten opzichte van elke eiser.

Magazine: Aan de andere kant zou het protocol zijn software kunnen upgraden als het bepaalde adressen wilde blokkeren. Kan een project in juridische problemen komen voor roekeloosheid of nalatigheid als het weigert dergelijke maatregelen op te leggen?

Brisov: Dat hangt af van hoe het technisch wordt uitgevoerd. Stel dat een oracle elk Noord-Koreaans IP-adres kan detecteren en automatisch blokkeren, zonder dat er iemand zit die op een knop drukt — "daar is een Noord-Koreaanse hacker, laten we hem blokkeren." Dan is het in orde. Maar als een team de situatie overziet en zegt: "We zien dat dit illegale activiteit is, laten we deze adressen blokkeren," en handmatig op de knop drukt, dan is het project vanuit juridisch oogpunt — ook al is het een goede daad die de community ten goede komt — niet volledig gedecentraliseerd in juridische zin. Dat stroopt de bescherming af die regelgeving zoals MiCA [de EU-wetgeving over crypto-activa] of het algemene uitgangspunt van de SEC en CFTC biedt: dat je, als je volledig gedecentraliseerd bent, niet aansprakelijk kunt zijn voor de handelingen van deelnemers aan je ecosysteem.

Magazine: NEAR's technologie heet SHIELD. Het identificeert automatisch adressen die aan bekende hacks op publieke blockchains zijn gekoppeld en blokkeert de toegang tot Intents. Betekent dat dat het eerder als gedecentraliseerd wordt gezien?

Brisov: Zeker. Ze laten zien dat ze te goeder trouw handelen en beschermingsmaatregelen in hun protocollen bouwen. Er is geen compliance-team van mensen die de operatie handmatig controleren. Dit is een slimme oplossing, en dat is precies wat we alle DeFi-bedrijven aanraden.

Magazine: In februari 2025 trok THORChain de admin key in waarmee het kernteam dergelijke eenzijdige wijzigingen had kunnen doorvoeren. Gezien het ontbreken van een admin key en het feit dat het met honderd validators draait, is het protocol dan voldoende gedecentraliseerd?

Brisov: Waarschijnlijk wel, maar dat kunnen we niet met zekerheid zeggen. Ik zou zeggen: ja.

Magazine: THORChain is geen mixer. Gestolen Bitget-fondsen kunnen op het platform worden gewisseld, maar wanneer ze aan de andere kant naar buiten komen, blijven ze transparant gekoppeld aan de Bitget-hackers. Hoe past dat binnen de definitie van witwassen? Of is het heling?

Brisov: Ik zie hoe ze aansprakelijk kunnen zijn voor witwassen — zelfs Tornado Cash, dat tot op zekere hoogte was gemaakt om geld te wassen, [ontwijkte Amerikaanse sancties omdat onveranderlijke smart contracts geen sanctiewaardig eigendom zijn wat betreft witwassen —red.] Het Amerikaanse recht behandelt iets als eigendom of als geen eigendom. Witwassen is het illegaal verplaatsen van eigendom via legale kanalen: je genereert opbrengsten uit illegale activiteit, dat is eigendom, en vervolgens verplaats je het via bepaalde kanalen en probeer je het legaal te maken. Maar smart contracts zijn helemaal geen eigendom. Je beheerst ze niet. Je bent geen eigenaar. Zo won Tornado Cash zijn zaak in de rechtszaal ten aanzien van OFAC-sancties — het bewees simpelweg dat het geen enkele controle heeft over zijn smart contracts.

Magazine: De Bybit-hack was 18 maanden geleden. Betekent dat dat er geen juridische stappen tegen THORChain worden ondernomen, of duren deze zaken simpelweg lang?

Brisov: Het kan in de toekomst zeker nog gebeuren. Na de Bybit-zaak hebben ze zichzelf serieus blootgesteld aan mogelijke claims.

Voorlopig is het decentralisatie-argument van het protocol juridisch nog niet getest — Brisov merkte op dat er nog geen uitdaging van de automatische stop is aangevochten — en hij zei dat mogelijke claims rond de Bybit-episode nog steeds naar voren kunnen komen, ontwikkelingen die dat permissionless-verweer direct op de proef zouden stellen.

Magazine: Big Questions: Bezit Satoshi daadwerkelijk 1,1 miljoen Bitcoin?