Eine kurze Geschichte der Krypto-Audits

Im Jahr 2014 wurde ein ehemaliger Bloomberg-Programmierer namens Changpeng „CZ“ Zhao Chief Technology Officer bei OKCoin, einer chinesischen Start-up-Token-Börse.

Die Community-Cheerleaderin von OKCoin zu sein, war ein großer Teil der Rolle. Der Preis von Bitcoin war nach dem Zusammenbruch der Mt. Gox-Börse abgestürzt, Pekings Feindseligkeit gegenüber Krypto verstärkte sich und Miner weltweit hatten abgeschaltet.

OKCoin spielte eine zentrale Rolle bei der Wiederbelebung des Interesses an Krypto als Glücksspiel-Token durch das Hinzufügen von Derivaten und Staking, während CZ sein Social-Media-Profil nutzte, um das Vertrauen unter den glühenden Gläubigen zu stärken. Er war oft auf Reddit zu finden, wie in diesem jetzt gelöschten, aber archivierten Beitrag, in dem er bestreitet, dass OKCoin Bots verwendet hat, um Volumen zu fälschen. Und er war regelmäßig in Podcasts wie diesem, wo CZ (bei etwa 25 Minuten) erklärt, dass Wash Trades an der Börse darauf zurückzuführen waren, dass chinesische Händler versucht hatten, ein Auto zu gewinnen.

CZ verließ OKCoin im Februar 2015 nach nur acht Monaten.

Zunächst schienen alle einvernehmlich zu sein, wobei CZ sagte, der Ausstieg sei „ein Richtungsunterschied“. Dann kam ein Reddit-Beitrag (gelöscht, aber archiviert), in dem CZ Dutzende von Anschuldigungen gegen OKCoin und seinen Gründer Mingxing „Star“ Xu vorbringt, einschließlich des angeblichen Einsatzes von Bots zur Aufblähung des Volumens.

OKCoin antwortete auf Reddit, um zu leugnen, was es CZs „Lügen und verzweifelten Unsinn“ nannte, und fügte zahlreiche eigene Anschuldigungen hinzu.

Es ist leicht, die öffentliche Schlammschlacht als Relikt aus dem Grenzzeitalter von Krypto abzutun. Der Handel mit Beleidigungen – der angeblich auf einen Vertragsstreit zwischen OKCoin und Roger Ver, einem frühen Evangelisten bekannt als Bitcoin Jesus, zurückzuführen war – wurde in typischem Messageboard-Gepolter unter Verwendung von Fachsprache bekämpft, die oft absichtlich undurchdringlich erscheinen kann. Dennoch ist der Kampf um die Frage der Rechnungsprüfung heute relevant.

Im August 2014, einige Monate bevor CZ abreiste, veröffentlichte OKCoin das, was es als „erstes Proof-of-Reserves-Audit“ der Branche bezeichnete. Der Bericht wurde von Stefan Thomas verfasst, der zu dieser Zeit CTO der Crypto Payments Group war Ripple und war der Gemeinde bekannt. Er kam zu dem Schluss (mit zahlreichen Vorbehalten), dass seine Bitcoin-Guthaben die Benutzergelder zu mehr als 104 Prozent zu decken schienen.

Dies als Audit zu bezeichnen, war nicht hilfreich. Es gibt viele gute Erklärer für den verwendeten Mechanismus; Die sehr einfache Version ist, dass Thomas Integritätstests an von OKCoin bereitgestellten Datenbanken durchführte, die seine Bitcoin-Vermögenswerte und -Verbindlichkeiten auflisteten. Diese Tests generierten eine Art Prüfsumme von Vermögenswerten, die als Merkle-Wurzel bekannt ist, anhand derer die Einleger überprüfen konnten, ob ihre eigenen Bestände in der Kette vorhanden waren. Es bot ein absolutes Minimum an Transparenz, wie Thomas warnte:

Beachten Sie, dass diese Art der Prüfung Einschränkungen unterliegt. Es überprüft nicht die Fiat-Vermögenswerte und -Verbindlichkeiten einer Börse oder andere Aspekte ihrer Bilanz. Es ist auch schwierig, definitiv zu beweisen, dass die fraglichen Bitcoins tatsächlich im Besitz der Börse sind, anstatt beispielsweise ausgeliehen zu sein.

In einem Interview mit CoinTelegraph wies CZ Kritik am „Audit“ zurück und bestritt Vorschläge, dass OKCoin Thomas möglicherweise nicht alle relevanten Daten gegeben habe.

Dann änderte sich die Geschichte. Der Reddit-Beitrag von CZ bezeichnete die Prüfung als „gefälscht“ und behauptete, OKCoin habe die Verbindlichkeiten unterschätzt, indem es seine eigenen Bot-Konten versteckt habe. „Im Wesentlichen handeln diese Bots mit Bruchteilen (oder fiktiven) Reserven“, sagte er. „Thomas wurde während des Audits belogen. Dies ist eine unglückliche Einschränkung der Methode des Nachweises der Reserven.“

Als Antwort darauf behauptete OKCoin, dass das Verstecken der Bots dazu diente, eine Doppelzählung von geliehenen Coins zu vermeiden. CZ „versteht nicht einmal, was eine Prüfung ist“, fügte sie hinzu.

Acht Jahre später möchte CZ betonen, dass er weiß, was ein Audit ist:

Binance, heute der mit Abstand größte Krypto-Handelsplatz der Welt, wurde durch den Zusammenbruch von FTX dazu gedrängt, Transparenz zu schaffen. Doch was es letzte Woche geliefert hat, kann nicht mehr als Prüfung angesehen werden als die Bemühungen von OKCoin im Jahr 2014.

Laut einem Schreiben der südafrikanischen Tochtergesellschaft der Buchhaltungsgruppe Mazars an „Binance Capital Management Co. Ltd“ auf den Britischen Jungferninseln schien Binance am 22. November auf einem zugrunde liegenden Niveau zu 101 Prozent besichert zu sein. In dem Schreiben wird der Begriff Audit nicht verwendet. Stattdessen gibt Mazars an, dass es ein vereinbartes Verfahren (AUP) durchgeführt hat, was bedeutet, dass seine Mitarbeiter nur sachliche Feststellungen innerhalb der von Binance vordefinierten Parameter treffen konnten. Die Wirtschaftsprüfungsgesellschaft stellte keine zusätzlichen Nachforschungen an, bildete sich keine Meinungen und bot keine Zusicherungen an – einschließlich der Gültigkeit der gesamten Übung, wie die Einleitung zu ihrem fünfseitigen Schreiben zu verdeutlichen versucht:

Das Management von Binance erkennt an, dass die AUP für den Zweck des Auftrags geeignet sind und für den Gegenstand verantwortlich sind, zu dem die AUP durchgeführt werden. [ . . . ] Wir geben keine Zusicherung bezüglich der Angemessenheit der AUP.

Diese AUP-Beauftragung ist keine betriebswirtschaftliche Prüfung. Dementsprechend geben wir weder ein Prüfungsurteil noch eine Prüfungsschlussfolgerung ab. Hätten wir zusätzliche Verfahren durchgeführt, wären uns möglicherweise andere Angelegenheiten aufgefallen, die gemeldet worden wären.

Es gibt keine Informationen darüber, welche der nomadischen Geschäftseinheiten von Binance getestet wurde. Es deckt nur die selbst gemeldeten Bitcoin-Vermögenswerte und -Verbindlichkeiten ab und schließt laut einem Artikel des Wall Street Journal das US-Geschäft aus. Verbesserungen der Merkle-Tree-Methodik von 2014, wie z. B. die Verwendung von Dummy-Transfers zur Überprüfung einer unbestimmten Anzahl von Wallets, sind höchstens inkrementell.

Und selbst dann scheiterte Binance.

„Wir haben festgestellt, dass Binance zu 97 Prozent besichert ist“, schreibt Mazars-Partner Wiehann Olivier. Erforderliche Pass-Marken „unter Berücksichtigung der von Kunden als Sicherheit für die durch das Margin- und Kreditdienstleistungsangebot verliehenen In-Scope-Vermögenswerte verpfändeten Vermögenswerte außerhalb des Geltungsbereichs, was zu negativen Salden im Kundenhaftungsbericht führt“. Mit anderen Worten, die Schlagzeilenzahl von 101 Prozent beruhte darauf, dass Bitcoin von der Passivseite ausgeschlossen wurde, sagte Binance, das verliehen worden war.

Das ist eine plausible Ausrede. Sicherheiten, die für Bitcoin-Darlehen gehalten werden, würden in anderen Währungen oder Token als Bitcoin gehalten und würden somit den Rahmen des Berichts von Mazars sprengen. Dennoch ist es schwierig, einem Audit, das sich um so enge Parameter dreht, viel Vertrauen zu schenken still kann zu keiner guten Antwort gelangen, als um mehr blindes Vertrauen zu bitten.

Binance sagt, dass es in den kommenden Wochen Informationen über andere Token als Bitcoin geben wird – die bilanziell wichtigsten davon sind das native BNB-Token und die Binance USD- und Tether-Stablecoins. Kurz nach der Implosion von FTX berichtete Binance, dass es am 10. November Coins im Wert von etwa 69 Milliarden Dollar hielt und dass diese drei Token wertmäßig mehr als 70 Prozent der Reserven ausmachten. Diagramm unten von Mike Alfred:

Das Versagen von FTX löste einen Wettlauf zwischen den Krypto-Börsen aus, um zu vermeiden, dass „not your key, not your coins“ zu einer existenziellen Bedrohung wird. Die OK-Gruppe von Star Zu, zu der die Börsen OKCoin und OKX gehören, ist eine von vielen, die für einen transparenten Nachweis der Reserven durch eine von Wirtschaftsprüfern unterstützte Token-Validierung werben, obwohl sie auf der gleichen grundlegenden Methode wie ihre Prüfung von 2014 basiert.

Doch selbst im Vergleich zu den Daten seiner kleineren Konkurrenten haben die Bemühungen von Binance um Transparenz viele Kommentatoren nicht überzeugt. Die Forschungsgruppe Mysten Labs (die von Binance finanziert wurde) veröffentlichte letzten Monat einen Bericht, in dem sie „potenziell ausnutzbare Schwachstellen“ identifizierte, die bedeuten könnten, dass Verbindlichkeiten unterbewertet wurden.

Das, was einer öffentlichen Stimmungsmessung in Binance am nächsten kommt, sein BNB-Token, geriet am Montag unter Druck, nachdem ein Reuters-Bericht berichtet hatte, dass das US-Justizministerium im Rahmen einer langjährigen strafrechtlichen Untersuchung der Börse Anklage wegen Geldwäsche erheben könnte. Binance hat eine lange Antwort auf seiner Website veröffentlicht und CZ hat in den sozialen Medien in seinem charakteristischen Stil geantwortet – mit einem Seitenhieb auf einen Gegner und einem Appell an die Community.

Aber nach fast einem Jahrzehnt des Getöses von CZ sieht es so aus, als ob die Community neues Material haben möchte: