Als Veteranin und Veteran, die/der seit über einem Jahrzehnt in der Low-Level-Infrastruktur und im Bereich des quantitativen Hochfrequenzhandels „dahinvegetiert“ hat, habe ich zu viele „narrative“ Whitepaper gesehen, die allein durch das Aufhäufen neuer, neuartiger Fachbegriffe aufgebaut wurden. In letzter Zeit wird das Newton Protocol ($NEWT) im Sekundärmarkt stark gehypt, weil die Idee „TEE plus ZKP für verifizierbare KI-Agenten“ im Mittelpunkt steht. Die offizielle Öffentlichkeitsarbeit ist äußerst irreführend: Es wird behauptet, dass jede einzelne Aktion eines KI-Agenten in einer Hardware-Enklave ausgeführt werde und dass dabei Zero-Knowledge-Proofs generiert würden, die On-Chain-Smart-Contracts unabhängig verifizieren können. Auf den ersten Blick wirkt diese Logik lückenlos und als würde sie das Vertrauensproblem beim Off-Chain-Compute perfekt lösen. Doch sobald du wirklichen Kontakt mit dem Betrieb von Industrie-Knoten hattest oder in einer realen Geschäftsumgebung ein auf Kryptografie basierendes Konsenssystem bereitgestellt hast, merkst du, dass hinter dieser aufwendig wirkenden Architektur ein grundlegender blinder Fleck verborgen ist.
Die zentrale Sicherheitsannahme des Newton-Protokolls basiert vollständig auf dem völlig falschen Vorwand, dass „TEE absolut sicher“ ist.
Zuerst müssen wir die „Black-Box“-Maske des TEE (Trusted Execution Environment) abreißen. Newt ons KI-Proxy läuft auf den physischen Servern des Projektteams oder des Betreibers eines Knotens – nicht in einer dezentralen Blockchain-Statusmaschine. Diese Architektur überträgt im Kern die Sicherheits-Schlüsselgewalt an die Chip-Isolationstechnologie des Hardwareanbieters. Doch sowohl die Geschichte als auch die echten Daten aus der Wissenschaft haben das TEE längst entblößt. Nehmen wir als Beispiel Enterprise-Architekturen für vertrauliches Rechnen: In den letzten Jahren reichte die Palette von Foreshadow-Angriffen, die über Mikroarchitektur-seitkanäle Daten leaken, über Plundervolt-Angriffe, bei denen durch das Einspeisen falscher Spannungen in Prozessoren Fehler verursacht wurden, bis hin zu jüngsten physischen Hardware-Break-ins, die direkt aus dem DDR5-Speicherbus nach geschützten privaten Schlüsseln schnüffeln und sie extrahieren (z. B. TEE.fail). Die Abwehrlinie des TEE kann man daher kaum anders als „durchlöchert“ bezeichnen.
In der Newton-Architektur können Betreiber des Knotens, sobald eines der oben beschriebenen Side-Channel-Angriffe gegen ihren Server gelingt – oder wenn der Betreiber selbst ein „Kollaborateur von innen“ ist –, direkt die höchste Kontrollgewalt über die KI in der Hardware-Enklave sowie den Wallet-Private-Key extrahieren. In einer reinen On-Chain-Umgebung (z. B. SVM oder eine optimierte EVM-Virtualmaschine) erfolgen dagegen alle Zustandsübergänge über eine kryptografisch deterministische Verifikation durch den Konsens aller Netzwerkknoten. Ein solch physikalischer Single Point of Failure ist daher schlicht unmöglich.
Das führt zu einer zweiten, weitaus tödlicheren Logikfalle: ZKP (Zero-Knowledge Proof) wird hier zum Werkzeug, um die Fassade zu wahren. Newton behauptet, dass On-Chain-Verträge ZKP verifizieren und so sicherstellen, dass der Proxy nicht schurkenhaft handelt. Doch aus den kryptografischen Grundprinzipien folgt: ZKP kann nur beweisen, dass ein „bestimmter Rechenprozess strikt nach der vorgegebenen Schaltungslogik“ ausgeführt wurde. Es kann niemals verifizieren, ob die „Eingabedaten des Systems wahr“ sind, und noch weniger, ob die „Ausführungsumgebung bereits auf der unteren Ebene kompromittiert wurde“.
Anders gesagt: Wenn Angreifer die TEE-Hardware kompromittieren und auf der Ebene des Betriebssystems die Eingabebefehle des KI-Proxys oder die angebotenen Kursdaten manipulieren, führt der kontaminierte KI-Proxy die Berechnungen in der Enklave dennoch korrekt zu Ende aus – und nutzt die extrahierten „legitimen“ Nachweise ganz folgerichtig, um einen Zero-Knowledge-Beweis zu generieren, der mathematisch absolut korrekt und makellos ist. Die On-Chain-Verifikationsverträge prüfen nur noch mechanisch „bestanden“, so als wäre da ein Blinder am Werk. ZKP wird zum Komplizen gefälschter Transaktionen, weil die gesamte Verifikationsebene gegenüber dem TEE-Black-Box-Innenleben, in das Code injiziert wurde, völlig blind ist. Das unterscheidet sich fundamental von einem echten zkML-Ansatz (Zero-Knowledge Machine Learning), bei dem Modellgewichte und Rechenprozess vollständig als Hashes zugesichert und On-Chain verifiziert werden. Newt ons Lösung ist im besten Fall nur eine grobe Hardware-Beweis-Hülle.
Das Scheitern der technischen Sicherheitsbarrieren geht oft mit dem Zusammenbruch des ökonomischen Modells einher. Die letzte Verteidigungslinie dezentraler Protokolle ist in der Kryptoökonomie das Spielmechanismus-Prinzip: Die Kosten für Fehlverhalten müssen um ein Vielfaches höher sein als der Nutzen aus Fehlverhalten. Newton verlangt, dass Proxy-Betreiber NEWT-Token als Sicherheit verpfänden, die bei Regelverstößen als Pönale eingezogen werden. Doch brutale Marktdaten haben dieser Mechanik direkt die Todesurteilsschrift ausgestellt.$BTC
Wenn man die historischen Kursverläufe betrachtet: NEWT erreichte im Juli 2025 einen Hochpunkt von 0,717 US-Dollar, und bis Juni 2026 war der Preis in einem regelrechten Absturz auf etwa 0,049 US-Dollar eingebrochen – insgesamt mehr als 93 % Minus. Diese durch ausbleibende Liquidität verursachte Wertvernichtung zerstört die Abschreckungswirkung der Verpfändungsmechanik vollständig. Man kann das in einer einfachen Planspiel-Übung durchspielen: Ein Knotenbetreiber, der vor einem Jahr am Hochpunkt NEWT im Gegenwert von 100.000 US-Dollar verpfändet hat, hat heute für die Sicherheit nur noch weniger als 7.000 US-Dollar übrig. Wenn der von diesem Knoten betriebene KI-Proxy außerdem einen 50.000-US-Dollar-Finanzpool kontrolliert oder Zugriff auf Hochfrequenz-Trading-Rechte besitzt, ändern sich die Spielregeln grundlegend. Angesichts der großen Gewinn-Scheren zwischen Risiko und Ertrag hat ein rationaler Akteur einen sehr starken Anreiz, aktiv „sein“ TEE-Server-System zu „knacken“, die KI zu kapern, die 50.000 US-Dollar mitzunehmen und gelassen die vergleichsweise lächerlichen 7.000 US-Dollar als Vertragsbruch-Pönale zu akzeptieren. Wenn die Sicherheit nicht einmal einen Bruchteil des potenziellen Verlusts der Nutzer deckt, ist die sogenannte ökonomische Absicherung am Ende nur noch Makulatur.
Am erschreckendsten ist der beunruhigende Detailpunkt, der sich im Fehlen von Sicherheits-Auditberichten versteckt. Als Protokoll, das sich dem Automatisierungs-Finanzwesen und dem Scheduling von Cross-Chain-Assets verschrieben hat, erhielt Newton auf der CertiK-Plattform für die Codesicherheit nur eine äußerst dürftige Bewertung von 55 Punkten. Noch alarmierender ist, dass sein Sicherheits-Auditstatus unmissverständlich mit „None“ (kein Audit) markiert ist. Nach heutigen Industriestandards für Web3-Sicherheit gilt: Jede DeFi-Instanz mit echtem wirtschaftlichem Wert hält Sicherheitsbewertungen typischerweise bei über 85 Punkten – und muss mit detaillierten Auditberichten ausgestattet sein, die von mehreren Sicherheitsorganisationen mit erstklassigem Ruf erstellt wurden; außerdem sind teils strenge formale Verifikationen erforderlich. 55 Punkte bei fehlendem Audit bedeuten in der Regel, dass es in der Codebasis zahlreiche nicht verwarfene Administrator-Backdoors mit hohen Rechten gibt, Proxy-Verträge, die beliebig manipuliert werden können, oder extrem fragiler zentralisierter Komponentenbestand. „Echtes Geld“ an ein solches Bastelteam zu geben, das nicht einmal die grundlegenden Sicherheitsuntergrenzen für Code einhalten will, ist nichts anderes als im Blindflug über ein Minenfeld zu rennen.
Zusammenfassend versucht das Newton Protocol, mit einer prachtvollen Hülle aus KI und ZKP zu verschleiern, dass sein Kerngedanke Vertrauen in eine fragile Hardwarekomponente wurzelt. Vier gravierende Schwächen bilden zusammen eine Zeitbombe, die jederzeit hochgehen kann: eine TEE-Black-Box mit häufigen physikalischen Schwachstellen, eine scheinbar wirkungslose einseitige ZKP-Verifikation, ein vollständig versagendes ökonomisches Sanktionsmechanismus durch Tokenwertverfall sowie ein grenzenloser Verzicht auf Sicherheitsstandards im Code. Für quantifizierende Institutionen und Privatanleger, die Determinismus und compliance-orientierte Sicherheit anstreben, muss man eine selbstverständliche Erkenntnis haben: Wenn ein System auf seiner Basisebene keine zu 100 % robuste kryptografische Selbstbezeugung realisieren kann, dann mag die dargestellte dezentrale KI-Zukunft noch so großartig klingen – am Ende bleibt sie doch nur eine Luftburg, die jederzeit einstürzen kann. Lass dich nicht von pseudo-technischen „Geek“-Erzählungen blenden: In der technischen und kapitalistischen Fleischschleifmaschine ist in der Black Box niemals ein Wunder versteckt, sondern stets nur eine zum Schlachten bereite Sense.$NEWT