IOTA vor Grundsatzentscheidung: Validatoren streiten über Virtue-Rettung

Die Debatte über den Umgang mit dem Virtue-Exploit entwickelt sich zu einer Grundsatzdebatte für IOTA. Mehrere Validatoren haben inzwischen Position bezogen oder interne Abstimmungen gestartet. Zusammen repräsentieren die öffentlich positionierten Validatoren jedoch erst 12,76 Prozent der aktuellen Voting Power. Ein formelles netzwerkweites Voting über Plan A, Plan B oder einen Rollback existiert bislang nicht.

Auslöser der Debatte ist die Manipulation eines von Virtue verwendeten Preis-Oracles am 28. August. Wie wir berichteten, wurde der IOTA-Preis zeitweise auf zehn Millionen US-Dollar manipuliert. Insgesamt kam es zu 47 Liquidationen bei 45 Nutzern. Betroffen waren Sicherheiten im Umfang von rund 23,2 Millionen IOTA-Äquivalenten.

Virtue stellte am 10. September zwei mögliche Wiederherstellungspläne vor. Plan A sieht vor, die betroffenen Positionen anhand des letzten unverfälschten Snapshots zu rekonstruieren. Dafür müssten eingefrorene Vermögenswerte in die Recovery-Custody gelangen und die Validatoren deren Verwendung genehmigen.

Tipp der Redaktion: IOTA testet V35: Das steckt im nächsten Mainnet-Upgrade

Plan B ist die Rückfalloption: Virtue würde den Nutzern den Nettowert ihrer Positionen vor der Liquidation in IOTA auszahlen. Die vorläufige Schätzung liegt bei rund 11,54 Millionen IOTA. Von den Angreiferbeständen sind etwa 19,17 Millionen IOTA gesperrt. Diese gelten allerdings nur als „restricted“ und befinden sich noch nicht unter der Kontrolle von Virtue.

DLT.GREEN lehnt nachträgliche Änderungen ab

Die bislang klarste Ablehnung eines Eingriffs kommt von DLT.GREEN. Der Validator verfügt aktuell über 5,53 Prozent der netzwerkweiten Voting Power. Seine laufende interne Governance-Abstimmung betrifft allerdings nicht direkt Plan A oder Plan B, sondern eine dauerhafte Validator-Richtlinie.

Der aktuelle Zwischenstand liegt bei 16 von 19 teilnehmenden OGs und 84,07 Prozent Zustimmung. Enthaltungen werden als Gegenstimmen gewertet. DLT.GREEN erklärte auf X:

„Validatoren sichern das Netzwerk. Sie sind weder Gericht noch Regulierungsbehörde noch Schadensregulierer einer dApp. DLT.GREEN wird sich nicht an Maßnahmen beteiligen, die finalisierte Transaktionen rückgängig machen oder Eigentum ohne den Schlüsselinhaber neu zuweisen. Mitgefühl ist keine Zuständigkeit.“

Sollte die Abstimmung in dieser Form enden, würde sich DLT.GREEN gegen jede Virtue-Lösung stellen, bei der Validatoren eingefrorene Vermögenswerte neu zuweisen oder bereits finalisierte Eigentumsverhältnisse verändern müssten.

Das Grundsatzproblem liegt in der Finalität des IOTA-Ledgers: Sobald eine Transaktion durch den Konsens bestätigt wurde, soll ihr Ergebnis nicht nachträglich von einer Validatorenmehrheit verändert werden können. Würden Validatoren eingefrorene Vermögenswerte ohne Zustimmung des Schlüsselinhabers neu zuweisen, hinge Eigentum nicht mehr ausschließlich von den Protokollregeln und privaten Schlüsseln ab, sondern im Ausnahmefall auch von einer späteren Abstimmung.

Eine solche Intervention könnte zwar die Opfer des Virtue-Exploits entschädigen, zugleich aber einen Präzedenzfall für künftige dApp-Hacks schaffen und IOTA-Validatoren faktisch zu Schiedsrichtern über rechtmäßiges Eigentum machen. Für die IOTA-Blockchain ist dies ein extrem sensibles Thema.

Cream unterstützt Plan A, starfish-one bevorzugt Plan B

Eine andere Position vertritt der Validator Cream mit 2,93 Prozent Voting Power. Cream unterstützt moralisch eine vollständige Wiederherstellung der betroffenen Positionen, erkennt aber gleichzeitig die möglichen Konsequenzen für die Finalität des Ledgers an. In dem Statement heißt es:

„Deshalb unterstütze ich moralisch die vollständige Wiederherstellung der Positionen, als hätte der Angriff nie stattgefunden. Wenn wir einen legitimen Weg haben, die Betroffenen vollständig zu entschädigen, sollten wir ihn nutzen. Allerdings könnte dieser Plan eine Protokolländerung mit deutlich schwerwiegenderen Folgen erfordern, als es zunächst erscheint, und möglicherweise die Grundprinzipien eines unveränderlichen Ledgers verletzen.“

Lesetipp: IOTA erweitert Notarization Toolkit um „Proof of Inclusion“

Starfish-one, dessen Voting Power bei 2,34 Prozent liegt, hält dagegen Plan B für die sauberere Lösung. Der Validator verweist nicht nur auf das kompromittierte Switchboard-Oracle, sondern auch auf fehlende Plausibilitäts- und Abweichungsprüfungen innerhalb von Virtue:

„Sollten Validatoren wirklich gleichzeitig Gericht, Versicherer und Recovery-Ingenieure sein? Plan B ist konzeptionell deutlich sauberer: Virtue entschädigt die Nutzer für ihren Nettowert vor der Liquidation, während die Rückgewinnung vom Angreifer und die Verantwortung zwischen Virtue und Switchboard separat geklärt werden.“

TokenLabs setzt vorerst auf Enthaltung

TokenLabs kontrolliert derzeit 1,96 Prozent der Voting Power. In der internen Community-Abstimmung entfielen 39 von 43 Stimmen beziehungsweise 90,7 Prozent auf Plan C. Jeweils zwei Mitglieder votierten für Plan A und Plan B.

Plan C bedeutet eine „konstruktive Enthaltung“. TokenLabs will zunächst keine Richtung vorgeben und später der breiteren Validatorentscheidung folgen:

„Wir werden eine aktive Enthaltung aufrechterhalten und verpflichten uns, unsere Stimme im Einklang mit dem breiteren Netzwerkkonsens abzugeben, sobald das Validator-Set die erforderliche Schwelle erreicht.“

Die TokenLabs-Abstimmung bleibt geöffnet. Eine Deadline wurde nicht genannt. Nachfolgend findest du eine Übersicht zu den Validatoren, die sich geäußert haben:

Große IOTA-Validatoren haben sich noch nicht festgelegt

Die vier öffentlich positionierten Validatoren kommen zusammen lediglich auf 12,76 Prozent der Voting Power. Dagegen haben sich Kiln mit 10,00 Prozent, PANDABYTE mit zusammen 8,01 Prozent, IOTA 1 bis 3 mit 7,49 Prozent und Binance mit 5,80 Prozent bislang nicht öffentlich festgelegt.

Auch ein formeller Recovery-Antrag von Virtue liegt noch nicht vor. Das Projekt erklärte lediglich, einen einmaligen und on-chain überprüfbaren Antrag vorzubereiten. Ein technischer Mechanismus, die erforderliche Mehrheit und eine Abstimmungsfrist wurden bisher nicht veröffentlicht.