Letzten Monat hab ich aus einer Laune heraus eine ziemlich angesagte On-Chain-AI-DCA-Proxy-App getestet und bin dann stur nach den kaputten Online-Tutorials weitergegangen, immer brav auf Bestätigen geklickt. In der Nacht kam mir plötzlich was komisch vor. Ich bin aufgestanden, hab auf der Kette die Autorisierungsdetails gescannt – und mir ist sofort der Schweiß runtergelaufen.

Das Ding hat sich als „Stablecoin-DCA“ ausgegeben, aber in Wahrheit hat es sich die maximale Überweisungsbefugnis deiner Wallet komplett geholt. Ich war so erschrocken, dass ich sofort eine Transaktion zur Stornierung abgeschickt hab, Gas auf Maximum – ich hatte Angst, dass das Geld eine Sekunde später schon weg ist. Das hat mir diese harte Realität komplett klar gemacht: Wenn wir sonst über Sicherheit reden, geht’s ständig um irgendwelche Smart-Contract-Lücken oder Halluzinationen von großen Modellen. Aber wenn es dann wirklich ums Spielen ums eigene Leben geht, ist das Schlimmste nicht das AI-Gerede – sondern der Weg von der dummen AI-Anweisung bis zur echten Auszahlung auf der Kette: Es gibt schlicht kein Auffangnetz. Du denkst, du lässt die AI dir nur einen Transaktionsvorschlag machen – dabei gibst du in Wirklichkeit sogar die absolute Verfügungsgewalt über deine Assets ab.@NewtonProtocol

Die Logik der Angriffe hat sich längst komplett verändert; private Schlüssel zu stehlen ist klassische Hackerarbeit, heute geht es eher um das Durchstechen von Berechtigungen. Nehmen wir den groben Fall mit Grok und Bankrbot Anfang des Jahres: Der Hacker hat das Contract-Ökosystem nicht einmal direkt berührt, sondern dem Modell einfach eine Morsezeichen-Sequenz geschickt und es dazu gebracht, sie in einen Transferbefehl zu übersetzen. Der nachgelagerte Agent machte nicht einmal eine zweite Prüfung, und schon waren über 400.000 US-Dollar weg. Der Sicherheitsbericht von SlowMist nennt das einen vertrauensseitigen Durchstich zwischen Komponenten, und das trifft es wirklich auf den Punkt. Klassische Code-Audits sind hier praktisch wertlos: Du kannst zwar den Smart-Contract-Code auf Sauberkeit prüfen, aber du wirst niemals erraten, was sich das Large Language Model in den Bruchteilen einer Sekunde zusammenfantasiert hat. Wenn du auf den Autorisieren-Button klickst, setzt du dein Vermögen und dein Leben auf eine komplette Blackbox-Pipeline. Das ist kein „Tech embrace“, das ist ein Drahtseilakt mitten im Minenfeld.

Genau deshalb hacke ich mich in letzter Zeit so sehr in @NewtonProtocol ($NEWT) rein. Das Projekt hat von Top-Investoren wie PayPal Ventures zig Millionen Dollar eingesammelt, verkauft aber nicht dieses Märchen von der „vollautomatischen, passiven AI-Geldmaschine“, sondern betreibt extrem unnatürlich wirkende Rechtekontrolle. Sie haben einen dreistufigen, verschachtelten Constraint-Mechanismus gebaut; die erste Schicht ist das kompromisslos harte zkPermissions. Das Ding ist eng mit smarten Konten nach ERC-4337 verzahnt, also kein wildes Einmal-Autorisieren aus dem Bauch heraus. Wenn du die Rego-Policy-Engine nutzt, kannst du die Leitplanken bis ins Absurde fein ziehen. Zum Beispiel: Wie viel Geld pro Transaktion bewegt werden darf, welche wenigen Whitelist-Coins überhaupt gekauft werden dürfen oder sogar, dass bei zu hoher Pool-Volatilität sofort physisch das Netz getrennt wird. All diese Regeln werden in Zero-Knowledge-Schaltkreise gepackt, an Session-Keys gebunden und vor dem Settlement zwingend geprüft. Selbst wenn die AI ausrastet: an der On-Chain-Abwicklungsstelle wird der Befehl bei Nichtübereinstimmung einfach zurückgewiesen.

Mit Regeln allein geht es nicht; es muss auch jemand die Ausführung überwachen, und es darf auf keinen Fall ein zentralisierter Server die Entscheidungen diktieren. Ihr Ansatz der zweiten Schicht ist ein Hybridnetz, das im Alltag auf TEE läuft und für den Notfall auf ZKP zurückgreift. Sobald eine Transaktion entsteht, prüft zuerst ein dezentrales Betreiber-Netzwerk die Absicht, nutzt das NATS-Protokoll für Streaming-Kommunikation im Subsekundenbereich und gibt erst nach Erreichen einer Quorum-Mehrheit mit BLS-aggregierten Signaturen als Compliance-Nachweis frei. So bleiben normale Transaktionen angenehm flott. Sobald jedoch ein Knoten auf stumm schaltet oder Unsinn signiert, wird sofort auf SP1 zkVM umgeschaltet, um die Unschuld zwangsweise zu belegen. Das ist ein ziemlich cleverer Kompromiss, denn reine ZK-Lösungen sind derzeit unfassbar langsam. Wenn man mit ZK einen Beweis für ein 7B-Modell erstellen wollte, würde man für eine einzige Transaktion vermutlich mehrere Stunden auf die On-Chain-Bestätigung warten, da ist das Gras längst verfault.

Wenn es um dezentrale Knoten geht, muss man sie mit echtem Geld disziplinieren; das ist die von vielen übersehene Schicht der wirtschaftlichen Rechenschaft. Als AVS-Service auf EigenLayer müssen alle Betreiber, die Aufträge annehmen wollen, zuerst $NEWT staken. Wenn du unerlaubt signierst oder dich böswillig absprachest, kommt das System sofort mit Slashing um die Ecke und zieht dir direkt Geld ab. Im Vergleich zu den leeren Hüllen, die den ganzen Tag in ihren Whitepapern Parolen schreien, gibt so ein Mechanismus, bei dem Geld als Bürgschaft dient, wenigstens ein bisschen Sicherheit.

Aber man sollte das auch nicht als unbesiegbare Panzerung verklären. Ich bin nun lange genug im Krypto-Zirkus unterwegs, um zu wissen, dass jede dieser drei Schichten ihre Schwachstellen hat. Erstens ist die Rego-Sprache für Retail extrem unfreundlich. Glaubst du ernsthaft, Leute wie wir würden Zero-Knowledge-Schaltkreis-Policies selbst zusammenlöten? Am Ende nutzt man doch nur die starren Vorlagen, die Entwickler geschrieben haben, und sobald man auch nur etwas komplexere Parameter ändern will, steht man wie ein Idiot da. Von echter, individuell anpassbarer Sicherheitsgrenze ist man da noch Lichtjahre entfernt. Und was die Hardware-Isolation angeht: TEE-Dinger sind historisch schon mehrfach durch Side-Channel-Angriffe wie Spectre aus dem Gleis geflogen. Im Grunde wettet man also immer noch darauf, dass die Hardwarehersteller schon keinen Mist bauen.$BTC

Am realistischsten ist ohnehin die ökonomische Logik ihres AVS-Knotens. Die Abschreckungswirkung von Slashing funktioniert nur dann, wenn die gesamte gestakte Summe weit über dem Gewinn liegt, der mit bösartigem Verhalten zu holen ist. Das Netzwerk ist noch jung, die TVL ist noch nicht aufgebläht, und wenn ein Hacker eine große Order ins Visier nimmt, die die Liquidität leer räumen könnte, dann sind diese paar gestakten Token nicht viel wert; die Knoten könnten sich sogar einfach zusammentun und dich gemeinsam ausnehmen. Sicherheitsgrenzen werden immer durch massive Kapitalmengen hervorgebracht, und genau diese Hürde müssen alle PoS-Systeme irgendwie durchstehen.$ETH

Ich habe selbst mit einem kleinen Anteil ein bisschen $NEWT gekauft und erwarte auch nicht, dass es sofort explodiert; für mich ist es eher ein Beobachtungswert für das ganze Segment. Viele Kritiker meckern, die Beweislatenz sei zu hoch und damit für Hochfrequenz-Quant-Trading ungeeignet, aber ich finde, das ist schlicht der falsche Vergleich. Hochfrequenzkapital rennt ohnehin nackt hinter schnellem Geld her, während Newton als Infrastruktur mit Fesseln auf DAO-Tresore oder institutionelle Gelder zielt, also auf das große, vorsichtige Geld. Ich habe auf seiner Basisschicht einen DCA-Agenten auf 2 % des Portfolios für Whitelist-Assets festgelegt; beim Einrichten habe ich zwar geflucht, weil es mühsam war, aber nachts schlafe ich dafür endlich ruhig. Im Spiel um On-Chain-AI ist mir viel wichtiger als die Frage, wer mehr verdient, wer im Ernstfall den Netzstecker ziehen kann.#Newt