Der Gründer von OpenZeppelin warnt angesichts zahlreicher Sicherheitslücken, dass die gesamte DeFi-Branche unsicher sei

Warnhinweise zu dezentrale Finanzwirtschaft sind nichts Neues. Exploits bei Smart Contracts, Ausfälle von Brücken, Governance-Angriffe und Phishing-Kampagnen begleiten die Branche schon seit ihren Anfängen. Investoren haben weitgehend akzeptiert, dass höhere Renditen oft mit einem höheren technischen Risiko einhergehen. Was die jüngste Warnung von Manuel Aráoz von anderen unterscheidet, ist nicht nur ihre Schwere, sondern auch der Grund dafür.

Der Mitbegründer von OpenZeppelin, dessen Unternehmen maßgeblich zur Etablierung vieler der in Ethereum und DeFi verwendeten Sicherheitsstandards beigetragen hat, erklärte im Mai, dass er mittlerweile “die gesamte DeFi-Branche” als unsicher betrachte und Freunden und Familienangehörigen privat geraten habe, sich selbst aus großen, etablierten Protokollen wie Aave, MakerDAO und Compound zurückzuziehen. Sein Argument lautet nicht, dass Entwickler weniger sorgfältig geworden seien. Vielmehr habe künstliche Intelligenz die Ökonomie der Softwaresicherheit grundlegend verändert. Laut Aráoz seien Programmieragenten beim Aufspüren von Schwachstellen mittlerweile “übermenschlich” geworden, während Verteidiger nach wie vor vor der unmöglichen Aufgabe stünden, jeden kritischen Fehler zu beseitigen, bevor Angreifer einen finden.

Das verdient Beachtung, da es eine der Annahmen in Frage stellt, auf denen DeFi aufbaut: dass sich die Sicherheit mit zunehmender Reife der Protokolle stetig verbessert.

Die Sicherheitslage hat sich verändert

Die herkömmliche Softwaresicherheit war schon immer asymmetrisch. Entwickler müssen vor der Veröffentlichung jede wesentliche Sicherheitslücke identifizieren und beheben. Ein Angreifer braucht hingegen nur eine einzige Schwachstelle.

Bis vor kurzem waren für die Aufdeckung dieser Schwachstellen hochspezialisiertes Fachwissen, Zeit und Ressourcen erforderlich. Die KI verändert diese Situation grundlegend.

Moderne Codierungsmodelle können große Codebasen analysieren, Implementierungen vergleichen, ungewöhnliche Logikpfade identifizieren und Hypothesen zu Sicherheitslücken generieren – und das weitaus schneller als ein einzelner Forscher. Auch wenn sie nicht perfekt sind, senken sie doch den Aufwand für die Suche nach Sicherheitslücken.

Für DeFi ist dies besonders heikel, da Smart Contracts von Natur aus öffentlich sind. Jedes Protokoll veröffentlicht den Code, der Vermögenswerte in Milliardenhöhe absichert. Transparenz wurde stets als eine der Stärken der Blockchain dargestellt, da jeder die Verträge einsehen kann. Doch Transparenz ist ein zweischneidiges Schwert. Dieselbe Offenheit, die es Prüfern ermöglicht, den Code zu überprüfen, gewährt auch immer leistungsfähigeren KI-Systemen uneingeschränkten Zugriff, um ihn zu analysieren.

Das ist die Asymmetrie, die nach Ansicht von Aráoz mittlerweile viel schwerer zu überwinden ist.

Prüfungen reichen nicht mehr aus

Seit Jahren stützt sich die Branche in hohem Maße auf Prüfungen als wichtigstes Vertrauenssignal.

Im Rahmen eines solchen Protokolls würde die Finanzierung bekannt gegeben, ein Prüfungsbericht veröffentlicht, ein Bug-Bounty-Programm ins Leben gerufen und den Nutzern versichert werden, dass mehrere Sicherheitsunternehmen die Verträge geprüft hätten.

Diese Maßnahmen sind nach wie vor wichtig. Sie beseitigen offensichtliche Fehler und verbessern die Codequalität. Sie sollten jedoch nicht mit Garantien verwechselt werden.

Ein Audit erfasst den Zustand des Codes zu einem bestimmten Zeitpunkt. Es kann nicht jede Interaktion mit zukünftigen Protokollen, jede Governance-Entscheidung, jede Marktlage oder jeden kreativen Angriffsvektor vorhersagen, der möglicherweise erst Monate später auftritt.

Das Problem wird noch größer, wenn Protokolle eng miteinander vernetzt sind. Moderne DeFi-Anwendungen existieren selten isoliert. Kreditprotokolle sind mit Liquid-Staking-Systemen verbunden, die wiederum mit Brücken, Orakeln, Liquiditätspools, kettenübergreifenden Nachrichtenübermittlungssystemen und Governance-Rahmenwerken interagieren. Jede zusätzliche Abhängigkeit vergrößert die Angriffsfläche.

Sicherheit wird somit zu einer Eigenschaft des gesamten Ökosystems und nicht mehr nur zu einer Eigenschaft eines einzelnen Protokolls.

Die Komplexität ist zum wahren Feind geworden

DeFi ist erfolgreich, weil es modular aufgebaut ist. Entwickler können bestehende Protokolle kombinieren, um neue Finanzprodukte zu entwickeln, ohne dafür eine Genehmigung einholen zu müssen.

Diese Kombinierbarkeit hat die Innovation beschleunigt. Sie hat aber auch die systemische Komplexität erhöht.

Jede Integration bringt Annahmen mit sich. Jedes Orakel ist auf externe Daten angewiesen. Jede Brücke stützt sich auf ein anderes Sicherheitsmodell. Jede Verbesserung der Governance schafft neue operative Risiken. Jede Liquiditätsschicht schafft eine weitere potenzielle Schwachstelle.

Das hat zur Folge, dass viele moderne Exploits nicht auf einfache Programmierfehler zurückzuführen sind. Sie entstehen durch unerwartete Wechselwirkungen zwischen ansonsten gut konzipierten Systemen.

Wissenschaftliche Untersuchungen zu DeFi-Angriffen sind zu ähnlichen Schlussfolgerungen gelangt. Eine Auswertung von Hunderten von Vorfällen aus der Praxis zeigt, dass die Schwachstellen weit über Programmierfehler hinausgehen und auch die Manipulation von Orakeln, Schwächen in der Governance, genehmigungsfreie Interaktionen sowie Mängel im wirtschaftlichen Design umfassen.

Aus diesem Grund reicht die Forderung nach “mehr Prüfungen” allein nicht mehr aus.

KI könnte zunächst Angreifern zugutekommen

Jeder technologische Fortschritt eröffnet sowohl Verteidigern als auch Angreifern neue Möglichkeiten.

Sicherheitsunternehmen setzen bereits KI ein, um die Codeüberprüfung zu verbessern, Tests zu automatisieren und die Suche nach Sicherheitslücken zu unterstützen. Protokollentwickler experimentieren zunehmend mit KI-gestützter Verifizierung und Überwachung.

Angreifer sind jedoch oft im Vorteil, da sie weniger Einschränkungen unterliegen.

Eine ordnungsgemäße Sicherheitsüberprüfung muss Fehlalarme minimieren, Ergebnisse dokumentieren, die Offenlegung koordinieren und Störungen der Produktionssysteme vermeiden. Angreifer unterliegen keinen solchen Verpflichtungen. Sie können Tausende automatisierter Analysen durchführen, fehlgeschlagene Versuche verwerfen und erfolgreiche Entdeckungen sofort ausnutzen.

Aus wirtschaftlicher Sicht spricht daher die Offensive.

Das bedeutet nicht, dass KI die Sicherheit im DeFi-Bereich zwangsläufig untergräbt. Es bedeutet vielmehr, dass die defensiven Sicherheitsmaßnahmen schneller verbessert werden müssen als bisher.

Vertrauen hängt vom operativen Geschäft ab, nicht vom Marketing

Sollte sich Aráoz’ Einschätzung als grundsätzlich richtig erweisen, müssen DeFi-Projekte ihren Wettbewerb anders gestalten.

Marketingmaßnahmen, die sich auf Audits, TVL und Token-Anreize konzentrieren, werden an Überzeugungskraft verlieren – im Gegensatz zur operativen Widerstandsfähigkeit.

Institutionelle Anleger und erfahrene Nutzer werden wahrscheinlich unterschiedliche Fragen stellen.

Wie schnell lassen sich Schwachstellen identifizieren?

Können Verträge sicher ausgesetzt werden?

Wie werden Governance-Upgrades gesteuert?

Welche Überwachungsmaßnahmen gibt es nach der Bereitstellung?

Wie werden Abhängigkeiten abgebildet?

Wie viel Wert kann offengelegt werden, bevor Notfallmechanismen greifen?

Wie oft werden Bedrohungsmodelle aktualisiert?

Bei diesen Fragen geht es weniger um das Vorhandensein eines Risikos als vielmehr um die Fähigkeit, damit umzugehen.

Dieser Wandel spiegelt die allgemeinen Entwicklungen im Bereich der Cybersicherheit wider. Unternehmen erkennen zunehmend, dass Sicherheitsvorfälle auftreten können. Der Wettbewerbsvorteil liegt in der Erkennung, Eindämmung und Wiederherstellung und nicht darin, so zu tun, als sei eine lückenlose Prävention möglich.

Bedeutet das, dass DeFi am Ende ist?

Wahrscheinlich nicht.

Die Geschichte zeigt, dass wichtige Technologien oft erst durch wiederholte Ausfälle sicherer werden und nicht bereits davor. Das Internet, Cloud Computing und Online-Banking durchliefen allesamt Phasen, in denen Angreifer den Verteidigern stets einen Schritt voraus waren, bevor sich die Sicherheitsstandards etablierten.

Der Unterschied besteht darin, dass finanzielle Verluste im DeFi-Bereich unmittelbar, öffentlich und in der Regel irreversibel sind.

Das erhöht den Druck, die Sicherheitsarchitektur zu verbessern, erheblich.

KI könnte die DeFi letztendlich stärken, wenn sie sich als effektiveres defensives Instrument als als offensives erweist. Automatisierte Code-Verifizierung, kontinuierliche Überwachung, KI-gestützte formale Verifizierung und die Erkennung von Anomalien in Echtzeit haben alle das Potenzial, die Widerstandsfähigkeit von Protokollen zu verbessern.

Die Frage ist, ob diese Verbesserungen schnell genug umgesetzt werden können.

Was Anleger daraus lernen sollten

Aráoz’ Warnung sollte nicht als Aufruf verstanden werden, alle Blockchain-Anwendungen aufzugeben.

Dies sollte als Hinweis darauf verstanden werden, dass der Status als “Blue Chip” nicht gleichbedeutend mit einem geringen Risiko ist.

Die Größe des Protokolls schließt das Risiko durch Smart Contracts nicht aus.

Frühere Prüfungen schließen zukünftige Schwachstellen nicht aus.

Ein guter Ruf verhindert keine operativen Fehler.

Mit jeder Rendite ist stets ein entsprechendes Risiko verbunden.

Anleger müssen daher die Sicherheit mit derselben Ernsthaftigkeit bewerten wie die Rendite.

Fragen zu Unternehmensführung, Finanzmanagement, Upgrade-Prozessen, Versicherungsvereinbarungen, Abhängigkeitsanalysen und der Reaktion auf Vorfälle verdienen mindestens ebenso viel Aufmerksamkeit wie die jährlichen Renditen.

Der nächste Wettbewerbsvorteil

Mehrere Jahre lang konkurrierten DeFi-Projekte vor allem im Bereich der Innovation.

Damals konkurrierten sie im Bereich der Liquidität. Heute konkurrieren sie zunehmend im Bereich der Sicherheit. Der nächste Schritt könnte eher in Richtung kontinuierlicher Sicherheit als in Richtung einmaliger Sicherheit gehen.

Protokolle, die eine KI-gestützte Überwachung, transparente operative Kontrollen, schnelle Reaktionsfähigkeiten, unabhängige Überprüfung und ein konservatives Risikomanagement nachweisen können, dürften mehr langfristiges Kapital anziehen als solche, die sich hauptsächlich auf Anreize stützen. Aráoz’ Aussage ist bewusst provokativ, wirft jedoch eine ernste strategische Frage auf. Wenn KI es Angreifern ermöglicht, Schwachstellen mit maschineller Geschwindigkeit aufzudecken, kann sich DeFi dann weiterhin auf Sicherheitspraktiken verlassen, die für menschliche Geschwindigkeit ausgelegt sind? Diese Frage dürfte die nächste Phase der dezentralen Finanzwelt weitaus stärker prägen als die nächste Token-Einführung oder Renditechance.