Suyay

I connected an AI trading agent to a small wallet this year, funded with about $500, mostly to see what it would actually do on its own. In May, someone showed exactly what can go wrong with that kind of setup. A prompt injection attack talked an AI agent integrated with a Grok-linked wallet into autonomously transferring roughly $175,000 in tokens — no hack of the wallet itself required, just a convincing enough set of words fed to the model. The token's price dropped about 40% within the same day. Nobody stole a private key. Somebody just asked nicely, in a way the agent believed.
I call this the advisory guardrail problem. A spending limit that lives as an instruction inside the same reasoning process the agent uses for everything else isn't really a guardrail. It's a suggestion the agent is trusted to keep remembering and honoring, using the exact same judgment that a well-crafted prompt injection is specifically designed to override. The rule and the vulnerability live in the same room. Anything persuasive enough to redirect the agent's reasoning is, by definition, persuasive enough to talk it out of a rule that reasoning was supposed to enforce on itself.
This isn't a one-off. Six days after the Grok incident, security researchers documented the first known case of an LLM agent independently carrying out a real cyberattack, pivoting through four separate systems and stealing credentials with no human guiding it step by step. A separate academic paper published in April, from researchers at UC Santa Barbara, UC San Diego, and two blockchain security firms, found that twenty-six so-called LLM routers, the infrastructure sitting between an agent and its underlying model, were secretly injecting malicious tool calls and stealing credentials, draining one client's wallet of $500,000 in the process. And in controlled testing, one security firm found that an agent deliberately configured with no spending limit at all suffered the worst-case damage when hijacked — confirming that limits do reduce how much a hijacked agent can take. What that same testing didn't show is that a limit the agent is simply told about actually stops the hijack from happening in the first place. It only shrinks what's left to steal once it does.
Newton's approach to agent commerce puts the limit somewhere the agent's own reasoning can't touch at all. A spending rule like newton.velocity isn't a system prompt the model is supposed to remember and honor voluntarily — it's evaluated by an entirely separate operator network, outside the agent's own context window, before a transaction is ever allowed to settle. A prompt injection can talk an agent into wanting to send $175,000 to the wrong address. It can't talk an independent network, running its own policy evaluation with no access to whatever the agent was just persuaded to believe, into approving a transfer that breaks a rule the agent was never trusted to enforce by itself in the first place.
I genuinely don't know how much attack surface Newton's model actually closes versus narrows. An external check only catches what the policy was written to restrict. If an injection persuades the agent to do something that technically stays inside the allowed rules, trading at a terrible price with an allowlisted counterparty, say, or splitting a large transfer into many small ones each individually under the cap, the external network has nothing to object to. Moving enforcement outside the agent's reasoning stops the attacks that rely on talking the agent out of a rule. It doesn't stop an attack clever enough to work entirely within one.
My own trading agent still has that $500 wallet connected. I don't know every way someone could try to talk it into doing something it shouldn't. What I'd rather have is a limit that isn't just another sentence in the same conversation somebody else might get to write next.
@NewtonProtocol $NEWT #Newt

I keep about $600 of ETH parked as collateral in a lending vault, the same basic setup that got wiped out on a Base deployment this past February. A governance proposal had misconfigured the oracle feed pricing cbETH as collateral, forgetting to multiply the raw cbETH/ETH exchange rate by the actual ETH/USD price. For a few catastrophic minutes, the system believed that kind of collateral was worth about $1.12 instead of roughly $2,200. Liquidation bots didn't wait around to find out if that was a mistake. Over a thousand cbETH positions got liquidated before anyone confirmed the price was wrong at all.
I call this the five-day fuse problem. The protocol's own monitoring caught the bad price within minutes — that part of the system worked exactly as intended. What it couldn't do anything about was the fix. Correcting the oracle required a governance vote, and the timelock on that vote was five days. Liquidations kept happening the entire time the fix sat there, fully known, fully agreed on, waiting for a clock that had no idea anything was on fire.
This isn't an isolated story. Losses from exploits specifically targeting tokenized real-world-asset protocols reached $14.6 million in the first half of last year alone, more than double all of the previous year combined, according to blockchain security firm CertiK. A separate lending protocol lost $5.8 million in a similar oracle price manipulation just weeks after the February incident, though in that case the team managed to recover about half the stolen funds within days. Oracle manipulation is now serious enough that the 2026 OWASP Smart Contract Top 10 gives it its own dedicated category, distinct from the access-control failures we've talked about before. And the amount of value now sitting on this exact kind of exposure keeps climbing: distributed RWA value crossed $26.69 billion this March, backing $360.52 billion in represented assets, spread across 33 different networks and close to 700,000 holders. Every dollar of that depends somewhere on a price feed nobody's watching quite as closely as the bots waiting for it to be wrong.
Newton's approach to RWA-specific risk is built to skip the vote entirely for exactly this kind of failure. Rather than waiting on governance to notice, propose, and approve a correction, a NAV integrity check runs as part of the policy itself — cross-referencing an incoming oracle price against a pre-agreed tolerance bound, every time, automatically. A price that's off by 99.95% doesn't need five days and a quorum to get flagged. It fails the check the moment it's submitted, before a single liquidation can execute against it, because the rule was written to reject that deviation from the start rather than react to it after the fact.
I genuinely don't know how well a fixed tolerance bound actually performs in practice, on both sides of the problem it's meant to solve. Set it too tight, and a real, legitimate price crash could get rejected right when the market most needs the protocol to keep functioning, freezing exactly the wrong moment for entirely honest reasons. Set it too loose, and a sufficiently disguised manipulation could still slip through underneath it, the same way this one might have if the error had been smaller and less obviously wrong. Automating the check removes the five-day wait, which is real and matters. It doesn't remove the judgment call of deciding, in advance, what counts as too wrong to trust — and that number still has to come from somewhere, set by someone, before the automation has anything to enforce.
My $600 is still sitting in a similar vault today, backed by a similar kind of collateral, watched by a similar kind of price feed. I don't know if the tolerance bound protecting it is tuned correctly, whether it's a Newton policy pack checking it or something else entirely. What I do know is that whatever protects it shouldn't need five days and a vote to actually do its job.
@NewtonProtocol $NEWT #Newt

Ich habe den offiziellen Wiederverkaufs-Marktplatz der FIFA in etwa vier Minuten 41 Mal aktualisiert und dabei zugesehen, wie zwei Tickets für das Viertelfinale Argentinien–Schweiz in Kansas City auftauchten und wieder verschwanden, bevor ich überhaupt mit einem Klick fertig werden konnte. Nicht, weil die Finger einer anderen Person schneller waren als meine. Sondern weil etwas anderes überhaupt kein Finger war.
Als Argentinien sich diesen Platz mit einem atemberaubenden Last-Minute-Comeback gegen Ägypten sicherte, schwankten die Wiederverkaufsangebote für das Spiel bereits wild. Verfolgt von Ticket-Preis-Portalen lagen die Preise innerhalb einer einzigen Woche für dieselben Sitze im unteren Rang irgendwo bei etwa 1.100 US-Dollar bis deutlich über 2.300 US-Dollar – und das, bevor Hospitality-Pakete ins Zehntausender-Bereich hineinpreisen. Die dynamische Preisgestaltung von FIFA selbst für das Turnier reichte von 60 US-Dollar für einen Sitz im Fan-Supporter-Tier in der Gruppenphase bis hin zu einzelnen Finaltickets, die auf dem eigenen Wiederverkaufs-Marktplatz der FIFA sogar bis zu 11,5 Millionen US-Dollar gelistet waren. Überall dort, wo sich ein Markt so schnell und so öffentlich bewegt, steckt meistens schon etwas Schnelleres als ein Mensch darin. Ich habe das angefangen, die „Phantom Queue“ zu nennen: eine Warteschlange, die von deinem Standort aus aussieht wie first-come, first-served – aber für niemanden, der stattdessen ein Skript hält statt einen Browser. Du verlierst nicht das Rennen. Du wirst nie überhaupt in es eingetragen.

Letztes Jahr habe ich ungefähr $340 von einer Kette, die ich normalerweise benutze, auf eine neuere übertragen, nur um eine App auszuprobieren, die dort gerade erst gestartet war. Innerhalb einer Stunde hat der Compliance-Flow der App meinen Wallet für eine zusätzliche Überprüfung markiert und mich für zwei Tage ausgesperrt, ohne wirkliche Erklärung außer einer Statusmeldung. Ich hatte bereits vollständiges KYC abgeschlossen und hatte seit Monaten normale Transaktionshistorie auf der Kette, von der ich kam. Nichts davon wurde mit mir übertragen. Auf der neuen Kette sah ich aus wie niemand.
Ich nenne das das Blanko-Seiten-Problem. Sobald Gelder eine Brücke überqueren, gibt es keine Möglichkeit zu erkennen, was vorher war—also welche Kette, wohin sie landen, kann nicht sehen, was zuvor kam. Jede Wallet wirkt im Moment ihrer Ankunft brandneu, egal ob sie zu jemandem gehört, der eine völlig saubere Historie hat, oder zu jemandem, der gezielt von Kette zu Kette springt, um eine Historie zu löschen. Compliance-Tools, die darauf ausgelegt sind, nur eine einzelne Kette zu überwachen, behandeln beide Fälle genauso, weil sie von ihrem Standpunkt aus tatsächlich keinen Unterschied erkennen können. Meine zweitägige Verzögerung und die saubere Flucht eines professionellen Geldwäschers entstehen aus genau derselben Blindstelle.

Vor vier Jahren habe ich KYC bei einer Krypto-Börse abgeschlossen, um etwa 200 Dollar in Bitcoin zu kaufen. Ich lud ein Foto meines Reisepasses hoch, machte ein Selfie, auf dem ich ihn neben mein Gesicht halte, und habe das Ganze innerhalb einer Woche vergessen. Ich habe im Moment keine echte Vorstellung davon, wie viele verschiedene Unternehmen noch immer eine Kopie dieses Reisepasses in einer Datenbank irgendwo gespeichert haben, von der ich nie etwas gehört habe—zur Verifizierung von Identitäten für Börsen, die ich nie genutzt habe.
Ich nenne das das One-Way-Dokumentenproblem. Ein Passwort, das durchgesickert ist, kann man in etwa dreißig Sekunden rotieren. Ein Scan des Reisepasses, eine Ausweisnummer der Regierung, ein Selfie, das mit deinem Gesicht abgeglichen wird, lässt sich hingegen überhaupt nicht rotieren. Sobald eines dieser Dokumente in einer kompromittierten Datenbank liegt, liegt es dort dauerhaft, an deine echte rechtliche Identität gebunden, verfügbar für alle, die es heruntergeladen haben, bevor man den Fehler, durch den es kam, behoben hat.

Letzten Monat habe ich einen $400-Swap auf einem öffentlichen DEX platziert und gesehen, wie der Preis sich gegen mich bewegte, noch bevor meine eigene Transaktion bestätigt war. Ein Bot hat meine Order gesehen, als sie in der Mempool lag, ist davor gefahren und hat meinen Handel so laufen lassen, dass der Preis gerade genug nach oben ging, um in etwas verkaufen zu können. Ich habe etwa elf Dollar durch etwas verloren, das weniger als eine Sekunde gedauert hat, und ich habe es nur bemerkt, weil ich zufällig auf den Bildschirm geschaut habe, als es passierte.
Ich nenne das das Walspur-Problem. Privatsphäre vor dieser Art von Exponierung ist nicht kostenlos — der Bau oder die Nutzung einer eigenen privaten Ausführungsumgebung kostet genug, dass das nur die größten Akteure rechtfertigen können. Also bleiben alle unter dieser Schwelle im selben öffentlichen Fahrstreifen sichtbar und füttern die Bots, die ihn beobachten. Die größten Akteure haben die Exponierung nicht behoben. Sie haben sich eine separate Spur gebaut und den Rest des Verkehrs genau dort gelassen, wo er war.

Ich habe die genaue Passage, die in einer Compliance-Industrie-Analyse im juristischen Kontext verborgen war, gefunden und sie zweimal gelesen, um sicherzugehen, dass ich sie nicht falsch verstanden habe. Laut dem GENIUS-Gesetz gilt: Wenn ein Compliance-Beauftragter eines Stablecoin-Emittenten eine erforderliche Bestätigung unterschreibt, die sich als falsch herausstellt, geht aus der Analyse hervor, dass er persönlich denselben strafrechtlichen Sanktionen ausgesetzt ist wie Geschäftsführer, die Konten unter dem Sarbanes-Oxley-Gesetz fälschen – das zitierte Gesetz ist 18 U.S.C. § 1350(c). Tatsächliche Haftstrafen, die an die Unterschrift einer Person geknüpft sind, nicht eine Geldstrafe, die das Unternehmen stillschweigend schluckt und dann weitermacht.

Im Mai haben Hacker 162 Millionen US-Dollar von einer dezentralen Börse abgezapft, die auf der Sui-Blockchain läuft. Was mich nicht überrascht hat, war der Hack – sondern was danach passierte. Suis Validatoren setzten das Netzwerk aus, blacklistedeten die Adressen des Angreifers und starteten es neu, wodurch die gestohlenen Gelder eingefroren wurden, bevor sie sich bewegen konnten. Es funktionierte. Und es sollte auch nicht möglich sein in einer Kette, die damit beworben wird – wie die meisten von ihnen – als dezentral und permissionless.
Ich nenne das das Problem der Fine-Print-Ketten. Die Freeze-Funktionalität war kein nachträglich „schnell noch“ eingebautes Patch. Sie saß die ganze Zeit im Code des Netzwerks – so wie der Kleingedruckte in einem Vertrag liegt, den niemand liest, bis der genaue Moment kommt, in dem er gegen sie angewendet wird. Diese Kette ist nicht ungewöhnlich, um sie zu haben. Ungewöhnlich ist eher, dass man sie in der Öffentlichkeit einsetzen musste, wo alle sehen konnten, wie das Kleingedruckte auf einmal aktiviert wurde.

Am 9. Juni erweiterte ein öffentlich börsennotierter, von der SEC regulierter Verwahrer eine Brücke, an der er fast ein Jahr lang gebaut hatte. BitGo Holdings, Verwahrer für institutionelle Krypto-Kunden, hatte bereits eine Integration namens Narval aufgebaut, die es verwahrten Vermögenswerten ermöglicht, DeFi-Protokolle zu berühren, ohne dass Institutionen die Tokens jemals aus regulierter Verwahrung heraus bewegen mussten. In dieser Woche erweiterte es die Brücke um Aave, Spark und Tesseract – zusätzlich zur bereits bestehenden Morpho-Verbindung. Nichts an den zugrunde liegenden Tresoren hat sich geändert. Was die Institutionen bekamen, war ein längerer, ausgefeilterer Tunnel, der ihre bestehende Compliance-Grenze mit dem verbindet, was auf der anderen Seite auf Rendite wartet.

Am Morgen des 1. Juli öffnete ich eine Börsen-App, die ich seit zwei Jahren nutze, und fand eine Banneranzeige, die ich noch nie zuvor gesehen hatte: Die Plattform sei derzeit nicht dazu autorisiert, weiterhin EU-Konten zu bedienen, und neue Aktivitäten seien eingefroren worden, bis ein „geordnetes Auslaufen“ erfolgt. Nichts an meinem Konto hatte sich über Nacht verändert. Was sich geändert hatte, war, dass ein Countdown, der bereits im Dezember 2024 gestartet war, um Mitternacht abgelaufen ist, und dass ungefähr tausend Krypto-Unternehmen in ganz Europa an nur einem Tag von einem normalen Betrieb auf einen illegalen Betrieb umgeschaltet sind.