- WLFI kündigt die Reallokation von Vermögenswerten kompromittierter Nutzer an und verweist auf Drittanbieter-Sicherheitslücken als Ursache, nicht auf Fehler der eigenen Smart Contracts.
- Betroffene Wallets blieben seit September eingefroren; Reallokationen erfolgen nach erneuter KYC-Prüfung, während nicht verifizierte Konten weiterhin gesperrt bleiben.
World Liberty Financial (WLFI) hat mitgeteilt, Vermögenswerte aus kompromittierten Nutzer-Wallets auf neue, sichere Adressen umzuleiten. Auslöser sind Phishing-Angriffe vor dem Plattformstart, bei denen Seed-Phrasen eines „relativ kleinen“ Teils der Nutzer entwendet wurden.
WLFI betont, dass keine Schwachstellen in der eigenen Plattform oder in Smart Contracts ausgenutzt wurden. Vielmehr hätten Angreifer über externe Sicherheitslücken Zugriff auf Nutzerdaten erlangt.
In der Folge fror WLFI die betroffenen Wallets ein, verifizierte Besitzansprüche und forderte die Betroffenen auf, die KYC-Identitätsprüfung erneut zu durchlaufen und neue Zieladressen anzugeben.
Parallel entwickelte das Team Smart-Contract-Logik für Massen-Reallokationen und testete diese laut eigener Darstellung umfassend. Nun sollen Einzahlungen für alle Nutzer starten, die Tickets eingereicht und die Prüfung erfolgreich abgeschlossen haben.
Wallets von Nutzern, die sich bisher nicht gemeldet oder die Verifikation nicht bestanden haben, bleiben eingefroren. Diese können den Prozess weiterhin über das Support-Portal anstoßen. WLFI argumentiert, die Priorität habe auf der Sicherheit der Vermögenswerte gelegen, auch wenn der Ablauf Zeit gekostet habe.
Governance-Fragen bei einem „community governed“ Projekt
Die Maßnahme wirft erneut Fragen zur Eingriffs- und Gefrierbefugnis eines Projekts auf, das sich als „community governed“ versteht. In dezentralen Systemen ist die Möglichkeit, Wallets einzufrieren oder Gelder per Protokoll-Update umzuleiten, meist eng an Governance-Prozesse, Multi-Sig-Kontrollen und Notfallklauseln gebunden.
Für Nutzer ist entscheidend, welche Regeln in Whitepaper, Smart-Contract-Code und Betreiber-Policies verankert sind, wer darüber entscheidet und wie Entscheidungswege dokumentiert werden. WLFI verweist auf regulatorische Anforderungen sowie den Schutz der Nutzer. Kritiker sehen darin dennoch ein Spannungsfeld zwischen Sicherheitsinterventionen und Selbstverwahrung, das klare Transparenzstandards erfordert.
Operativ rücken mehrere Punkte in den Vordergrund. Erstens die Nachweisführung. KYC-basierte Eigentumsprüfung soll sicherstellen, dass Reallokationen ausschließlich an rechtmäßige Inhaber gehen.
Zweitens die technische Umsetzung. Die neue Vertragslogik für Bulk-Transfers muss fälschungssicher sein, Replays verhindern und revisionssichere Audit-Trails erzeugen. Drittens die Kommunikation. Nutzer brauchen klare Zeitpläne, Status-Updates und eine Dokumentation, die spätere Streitfälle minimiert.
Für das Ökosystem insgesamt bleibt relevant, ob WLFI Offenlegung zu Governance-Schwellwerten, Signaturmodellen und Notfallrechten liefert, um Vertrauen in die Interventionsmechanismen zu stärken.
Für Anleger und Partner stellt sich die Frage, wie WLFI künftig den Spagat zwischen regulatorischer Konformität und Dezentralitätsanspruch ausgestaltet. Denkbar sind gestaffelte Eingriffsrechte, die nur unter enger Aufsicht ausgelöst werden können, sowie Versicherungs- oder Garantie-Module, die Phishing-Risiken abfedern, ohne auf Kontrosperren zurückzugreifen.
Unabhängig von der Ursache der Kompromittierungen bleibt der Vorfall ein Reminder, dass Seed-Sicherheit, Phishing-Prävention und robuste Nutzeraufklärung integrale Bestandteile jeder Web3-Plattform sind.
