CertiK Security-Score 55, Audit-Status None. Diese beiden Labels sind derzeit die größten Vertrauenshindernisse, die vor Newton stehen. Ich will keine wiederholte Angst heraufbeschwören, aber ich möchte es aus einer konstruktiven Perspektive zerlegen: Wie genau sollte diese „Security-Schuldenlast“ beglichen werden?
Zuerst muss klar erkannt werden: Ein Security-Audit ist kein einmaliges Schaufenster-Event. Bei einer so komplexen Modul-Strategie-Engine wie Newton sollte das Audit mindestens drei große Bereiche abdecken: Smart Contracts im Zusammenhang mit EIP-7702 Delegated Authorization, die Strategieausführungscode, der in einem TEE läuft, sowie die Logik für Slashings und Herausforderer im Zusammenspiel mit EigenLayer AVS. Diese drei Teile haben jeweils eigene Schnittstellen; jede Lücke in irgendeiner Ecke kann sich zu einer Kombinationsausnutzung zusammenfügen. Deshalb wird das erste Audit sehr wahrscheinlich lang und in Etappen erfolgen – es lässt sich nicht in einem Schritt erledigen.
Zweitens ist der Projektseite nicht jede Möglichkeit genommen, bevor der formelle Auditbericht vorliegt. Die Einrichtung eines öffentlichen Bug-Bounty-Programms, das regelmäßige Veröffentlichen interner Sicherheits-Testergebnisse sowie die Einladung von White-Hat-Teams zu kontrollierten Penetrationstests sind alles Maßnahmen, die man schon vorab umsetzen kann – als eine Art Vertrauenspuffer. Sogar die Einführung einer „Selbstnachweis-Prämie“ ist denkbar: Das Projektteam sperrt einen Teil der Tokens oder Stablecoins in einem öffentlich einsehbaren Smart Contract und erklärt, dass bei Verlusten von Nutzern vor Abschluss des Audits, die auf einen Contract-Bug zurückzuführen sind, diese Mittel für eine vorrangige Entschädigung verwendet werden. Diese Haltung ist weitaus wirksamer als nur mit Worten zu sagen: „Wir sind sicher“.
Wenn man noch weiter nach vorn schaut, ist Sicherheit nicht nur ein technisches Problem, sondern auch eines der Governance. Multi-Sig zur Kontrolle der Macht, Abhängigkeiten von Oracles, die Konzentration von AVS-Knoten – all das wurde in den vorherigen Artikeln bereits mehrfach angesprochen. Im Kern sind das Governance-Lücken, die ein Protokoll in der dezentralen Abarbeitungsreihenfolge hinterlässt. Wenn es gelingt, diese Kontrollpunkte Schritt für Schritt durch Time-Lock-Contracts, parallele Ausführung mehrerer Vorschläge und Mechanismen für den Rotationswechsel des Notfallkomitees transparent nach außen zu machen, selbst wenn es im Audit weiterhin „None“ heißt, wird der vorhandene Vertrauensbestand langsam wieder steigen.$BTC
Für Newton ist das größte Risiko nicht die 55 Punkte an sich, sondern eine bestimmte Möglichkeit: Die Projektseite ist es gewohnt, in einer Umgebung ohne externe Prüfung schnell zu iterieren – und delegiert Sicherheit dann an das „Wenn schon nichts passiert ist, wird es schon gut gehen“-Glücksspiel. Wer wirklich zu institutioneller Infrastruktur aufsteigen will, muss die Macht proaktiv in das technische Käfigwerk legen, statt auf einen Unfall zu warten, der dann für dich Entscheidungen trifft.
Dieser Weg ist nicht leicht, aber jeder Schritt nach vorn zieht die Punktzahl von 55 nach oben.