2021 habe ich ein Hacker-Event getroffen, das mich über einen Protokoll-Exploit geschnitten hat,, aber dieses Gefühl, wenn man die Wallet öffnet und die Bilanz ist auf null – das vergesse ich bis heute nicht. Seitdem werte ich jedes Sicherheitsversprechen in jedem Protokoll nur noch mit Abschlag. Ich habe schon so viele Audit-Reports gesehen: Fast jedes gestohlene Projekt hatte vorher einen ganzen Stapel davon. Kürzlich habe ich die Sicherheitskonfiguration von TermMax einmal komplett durchgecheckt, und einiges ist nicht ganz so, wie ich es bei den meisten anderen Projekten gesehen habe.
Zuerst zum Audit. Achtung: Mein Fokus liegt nicht auf dem Audit selbst, sondern auf dem „wiederholt“. Jedes Mal, wenn der Code im Vertrag geändert wird, wird das alte Audit ungültig. In der Branche nutzen viel zu viele Projekte einen Auditbericht von vor einem Jahr, um einen neuen Vertrag abzustützen – und die Codes im Bericht sind längst nicht mehr dasselbe wie das, was on-chain läuft. Teams, die wirklich bereit sind, kontinuierlich Geld für wiederholte Audits auszugeben, zeigen zumindest zwei Dinge: Das Projekt macht Fortschritte, und die Finanzierung ist gesichert. Das sagt mehr über den Projektzustand aus als nur ein Report.
Als Nächstes die Bug Bounties auf Immunefi. Das ist von der Natur her komplett anders als ein Audit. Ein Audit ist: Du zahlst jemandem, der einmal nachschaut – und dann ist es vorbei. Bounties hängen langfristig da und lassen weltweit White-Hat-Hacker jeden Tag für dich Penetrationstests machen. Wenn ein Problem gefunden wird, gibt es ein Preisgeld; wenn keines gefunden wird, heißt das: Niemand kennt diesen Vertrag besser als du selbst. Die Preisgestaltung eines Bounties ist im Grunde das öffentliche Preisangebot des Teams für sein eigenes Vertrauen in den Code. Wer die Preise öffentlich so an die Wand hängt und das dann auch noch dauerhaft betreibt, hat mehr Überzeugungskraft als hundert Sätze „Sicherheit zuerst“.
Aber zwei Dinge müssen eiskalt gesagt werden. Erstens: Bounties beweisen geradezu, dass im Vertrag möglicherweise Lücken stecken. Wenn es keine Lücken gibt, muss man niemanden dafür bezahlen. Die Bedeutung von Bounties ist, den Nutzen, der aus der Entdeckung von Bugs entsteht, offen auf den Tisch zu legen – sodass White-Hats und Black-Hats gegeneinander bieten. Das ist Schadensbegrenzung, keine Immunisierung. Zweitens: Vertragssicherheit und Fundsicherheit sind nie dasselbe. Selbst auditierten Verträgen ist durch ausgelaufene private Keys, durch Manipulationen an Oracles oder durch Frontend-Übernahmen etwas passiert. TermMax betrifft zudem die Routen für die Erträge externer Protokolle und die Clearings-Pfade für die physische Abwicklung – die Komplexität dieser Bausteine lässt sich nicht mit ein paar Reports lösen.
Letztlich gilt: Dass ein Team bereit ist, kontinuierlich Geld für Sicherheit auszugeben, verdient Anerkennung. Aber: Geld auszugeben heißt nicht automatisch, dass es sicher ist. Die echte Bewährungsprobe findet immer on-chain statt. Am 25. August TGE für $TMX wird sich TVL und Angriffsfläche zusammen vergrößern – und dann kommt der echte Stresstest.
#termmax @TermMax
Zuerst zum Audit. Achtung: Mein Fokus liegt nicht auf dem Audit selbst, sondern auf dem „wiederholt“. Jedes Mal, wenn der Code im Vertrag geändert wird, wird das alte Audit ungültig. In der Branche nutzen viel zu viele Projekte einen Auditbericht von vor einem Jahr, um einen neuen Vertrag abzustützen – und die Codes im Bericht sind längst nicht mehr dasselbe wie das, was on-chain läuft. Teams, die wirklich bereit sind, kontinuierlich Geld für wiederholte Audits auszugeben, zeigen zumindest zwei Dinge: Das Projekt macht Fortschritte, und die Finanzierung ist gesichert. Das sagt mehr über den Projektzustand aus als nur ein Report.
Als Nächstes die Bug Bounties auf Immunefi. Das ist von der Natur her komplett anders als ein Audit. Ein Audit ist: Du zahlst jemandem, der einmal nachschaut – und dann ist es vorbei. Bounties hängen langfristig da und lassen weltweit White-Hat-Hacker jeden Tag für dich Penetrationstests machen. Wenn ein Problem gefunden wird, gibt es ein Preisgeld; wenn keines gefunden wird, heißt das: Niemand kennt diesen Vertrag besser als du selbst. Die Preisgestaltung eines Bounties ist im Grunde das öffentliche Preisangebot des Teams für sein eigenes Vertrauen in den Code. Wer die Preise öffentlich so an die Wand hängt und das dann auch noch dauerhaft betreibt, hat mehr Überzeugungskraft als hundert Sätze „Sicherheit zuerst“.
Aber zwei Dinge müssen eiskalt gesagt werden. Erstens: Bounties beweisen geradezu, dass im Vertrag möglicherweise Lücken stecken. Wenn es keine Lücken gibt, muss man niemanden dafür bezahlen. Die Bedeutung von Bounties ist, den Nutzen, der aus der Entdeckung von Bugs entsteht, offen auf den Tisch zu legen – sodass White-Hats und Black-Hats gegeneinander bieten. Das ist Schadensbegrenzung, keine Immunisierung. Zweitens: Vertragssicherheit und Fundsicherheit sind nie dasselbe. Selbst auditierten Verträgen ist durch ausgelaufene private Keys, durch Manipulationen an Oracles oder durch Frontend-Übernahmen etwas passiert. TermMax betrifft zudem die Routen für die Erträge externer Protokolle und die Clearings-Pfade für die physische Abwicklung – die Komplexität dieser Bausteine lässt sich nicht mit ein paar Reports lösen.
Letztlich gilt: Dass ein Team bereit ist, kontinuierlich Geld für Sicherheit auszugeben, verdient Anerkennung. Aber: Geld auszugeben heißt nicht automatisch, dass es sicher ist. Die echte Bewährungsprobe findet immer on-chain statt. Am 25. August TGE für $TMX wird sich TVL und Angriffsfläche zusammen vergrößern – und dann kommt der echte Stresstest.
#termmax @TermMax