Newtons beeindruckendstes Sicherheits-Statement ist die komplette AIAgent-Ausführung in einer vertrauenswürdigen Hardware-Umgebung auf Basis von TEE.

Die vollständige Ausführungskette von ZK-Beweisprüfung, SessionKey-Berechtigungsberechnungen und automatisierten Handelsagenten ist vollständig in Intel SGX und AMD SEV Hardware-Sicherheitsbereichen gekapselt. Die offizielle Werbelogik wirkt perfekt: Code-Isolation, Speicherverschlüsselung, Unveränderbarkeit des Hosts, Dritte können nicht hineinschauen – und den Nutzern wird damit eine „absolut sichere“ Offline-Ausführungsbarriere@NewtonProtocol geliefert.

Ich habe den technischen Dokumenten weiter nachgegangen und festgestellt, dass dieser vermeintlich „absolut sichere“ Unterbau einen Knoten hat, den man nicht umgehen kann: der tiefste Vertrauensanker liegt weder auf der Kette noch in den Protokollen selbst, sondern ist in der Hand des Chipherstellers.

Viele glauben fälschlicherweise, TEE sei eine Art dezentraler Sicherheits-Notfallanker. In Wahrheit ist es reines, passives Hardware-Vertrauen. Die komplette Kette aus vertrauenswürdigen Beweisen, Remote-Authentifizierung und Ausführungsisolation beruht vollständig auf offiziellen Intel- und AMD-Schlüsseln sowie auf Remote-Autorisierungsdiensten. Das Protokoll selbst kann man nicht auditen, es kann nicht auffangen/absichern und es kann nicht ersetzen.

Meiner Ansicht nach handelt es sich hier um ein nicht reparierbares strukturelles, tödliches Risiko: Eine als „dezentral verifizierbar, On-Chain nachvollziehbar“ beworbene KI-Infrastruktur—bei der die Sicherheits-Schlüssel/entscheidenden Angriffspunkte vollständig nach außen verlagert und vollständig von einem Drittanbieter-Giganten kontrolliert werden. Sobald es zu Firmware-Backdoors, Lieferkettenbeschränkungen, Hersteller-Schlüssel-Updates oder regionalen Service-Unterbrechungen kommt, fällt die gesamte vertrauenswürdige Ausführungsbasis aller NewtonAgent im Netz kollektiv aus.

Noch weniger zu übersehen ist, dass TEE-Hardwarelücken niemals ein Einzelfallproblem sind, sondern seit acht Jahren durchgehend ein systematischer Dauerbrenner. Ich habe mir die CVE-Datenbank von SGX angesehen: Diese Liste erstreckt sich über exakt acht Jahre über das gesamte Spektrum hinweg. Von 2018, als die SGX-Isolation durch Foreshadow L1TF-Aufhebungs-/Abbruchlücken durchbrochen wurde, bis hin zu den in den letzten Jahren fortlaufend offengelegten verschiedensten Seitenkanalangriffen, Memory-Escape-Attacken und gefälschten Proof-/Beweisangriffen—bis hin zur neuesten Plunderbolt-Lücke im Jahr 2026. Die Sicherheitsgrenzen von Intel SGX wurden über Jahre hinweg immer wieder durchbrochen.

Nicht nur Intel—auch AMD SEV ist voller Risiken. Die bekannte TEE.fail-Serie von Angriffen hat einmalig Intel SGX, TDX, AMD SEV-SNP und NVIDIAs TEE in den vier wichtigsten Mainstream-Umgebungen gleichzeitig durchbrochen. Das belegt, dass das gesamte Branchen-TEE-System grundlegende Architekturschwächen aufweist und nicht durch einzelne Patches dauerhaft geheilt werden kann.

$NEWT Während das Agent-Ökosystem im gesamten Netz noch relativ klein ist und keine akute Risikokrise ausgebrochen ist, sobald großflächige Geldmittelstrategien, On-Chain-Automatisierung von Tresoren und die RWA-Treuhandlogik vollständig migrieren, bedeutet eine einzelne hochriskante TEE-Sicherheitslücke: dann ist das ein systemischer Black Swan für das gesamte Netzwerk

Der Punkt ist: Der Sekundärmarkt hatte längst klare Bedenken. Entwickler in der Community sagten ganz offen: „Bei Newton ist eine starke Abhängigkeit von TEE als Single-Point-Architektur dauerhaft fragwürdig. Intel SGX hat eine hohe Dichte historischer Sicherheitslücken—solche grundlegenden systemischen Risiken sind derzeit in der Token-Bewertung überhaupt nicht angemessen eingepreist.“

Angesichts der anhaltenden Zweifel aus der Community ist die einzige offizielle Antwort: Man plane, künftig eine redundante Multi-Provider-TEE-Architektur einzuführen, um die Abhängigkeit von einer einzelnen Chips-Lieferkette zu verlassen. Aber ich habe sämtliche Dokumente, Roadmaps und Quartals-Transparenzberichte durchgesehen—ohne ein umgesetztes Release, ohne Iterationspunkte und ohne einen Zeitplan für den Go-Live.

Ich habe mir diese paar Zeilen „Zukünftige Pläne“ lange angesehen: Redundante Sicherheit ist nur ein Fernziel, die hochriskante Abhängigkeit von einem einzelnen Punkt ist dagegen die aktuelle Realität.

Ich fasse es zum Schluss in einem Satz zusammen—das Wesentliche: Für echte On-Chain-vertrauenswürdige Sicherheit muss der Vertrauensanker auf der Kette liegen: verifizierbar, autonom und dezentral zur gegenseitigen Kontrolle. Und das #Newt Sicherheitskonzept ist genau das Gegenteil: On-Chain-Execution, Off-Chain-Schlüssel-/Nervenstränge, Kontrolle durch den Hersteller—und das Protokoll läuft „nackt“ ohne echte Absicherung.

Ganz offen: Wenn es acht Jahre lang keine Pause bei den Lücken gab, der Vertrauensanker nicht in der eigenen Hand liegt und redundante Gegenmaßnahmen völlig außer Reichweite sind—warum sollten wir dann glauben, dass der AIAgent, der in einer externen Hardware-Blackbox läuft, wirklich sicher ist, die verwalteten Vermögenswerte tatsächlich treuhänderisch geschützt sind und eine hohe Bewertung wert?