2016 wurde eines der ehrgeizigsten Projekte der jungen Krypto-Welt in wenigen Stunden ausgehöhlt. Ein unbekannter Angreifer nutzte eine Lücke im Programmcode und zog rund 3,6 Millionen Ether ab. Die Reaktion auf diesen Diebstahl führte zu einer der folgenreichsten Entscheidungen der Blockchain-Geschichte – und spaltete Ethereum in zwei getrennte Währungen. Das ist die Geschichte des DAO-Hacks.
- Wann: 17. Juni 2016
- Was: rund 3,6 Millionen Ether (damals etwa 50–60 Mio. USD) abgezogen
- Ursache: Sicherheitslücke im Smart Contract der „DAO"
- Folge: Spaltung in Ethereum (ETH) und Ethereum Classic (ETC)
Die DAO – ein kühnes Experiment
Im Frühjahr 2016 war Ethereum gerade einmal ein Jahr alt. Auf dieser jungen Blockchain startete das Unternehmen slock.it ein außergewöhnliches Projekt: „The DAO", eine dezentrale autonome Organisation. Die Idee war revolutionär – eine Art von der Gemeinschaft gesteuerter Wagniskapitalfonds, bei dem die Investoren per Abstimmung selbst entscheiden, in welche Projekte das Geld fließt, ganz ohne zentrale Verwaltung.
Die Begeisterung war riesig. In einem der größten Crowdfundings seiner Zeit sammelte The DAO Ether im Wert von rund 150 Millionen Dollar ein. Doch genau diese riesige, an einer Stelle gebündelte Summe machte das Projekt zu einem verlockenden Ziel.
Der Angriff
Am 17. Juni 2016 schlug ein Angreifer zu. Er nutzte eine bekannte, aber übersehene Schwachstelle im Code aus – einen sogenannten Reentrancy-Fehler. Vereinfacht gesagt: Der Smart Contract zahlte Geld aus, bevor er den Kontostand aktualisierte. Dadurch konnte der Angreifer denselben Betrag immer wieder abheben, in einer Schleife, bevor das System merkte, dass das Guthaben längst leer sein sollte.
Auf diese Weise flossen rund 3,6 Millionen Ether ab – etwa ein Drittel aller Gelder der DAO. Der Ether-Kurs brach am selben Tag deutlich ein. Immerhin: Durch die Funktionsweise der DAO landeten die gestohlenen Coins zunächst in einer Art Wartekonto („Child DAO") und waren für einige Wochen blockiert. Das verschaffte der Gemeinschaft Zeit zu reagieren.
„Code is Law" – oder eingreifen?
Jetzt stand die junge Ethereum-Gemeinschaft vor einer grundsätzlichen Frage, die weit über Geld hinausging. Eine der Kernideen der Blockchain ist ihre Unveränderlichkeit: Was einmal in der Kette steht, bleibt für immer stehen. Daraus leiteten viele das Prinzip „Code is Law" ab – der Code ist das Gesetz, auch wenn er Fehler enthält und ausgenutzt wird.
Sollte man den Diebstahl also hinnehmen, um dieses Prinzip zu wahren? Oder durfte man eingreifen und das Geld zurückholen – auch wenn das hieß, die heilige Unveränderlichkeit zu durchbrechen?
Die Spaltung
Nach hitziger Debatte entschied sich die Mehrheit fürs Eingreifen. Am 20. Juli 2016, bei Block 1.920.000, wurde eine sogenannte Hard Fork durchgeführt: Die Blockchain wurde an einem Punkt vor dem Angriff „umgeschrieben", sodass die gestohlenen Gelder zu ihren Besitzern zurückkehrten.
Doch nicht alle machten mit. Eine Minderheit hielt am Prinzip der Unveränderlichkeit fest und führte die ursprüngliche, unveränderte Kette weiter. So entstanden aus einer Blockchain zwei: Die geänderte Kette ist das heutige Ethereum (ETH). Die unveränderte Originalkette lebt als Ethereum Classic (ETC) weiter.
Die offenen Fragen
Bis heute wurde der Täter nie offiziell identifiziert. Vor allem aber hinterließ der DAO-Hack eine grundsätzliche Frage: Kann eine Kryptowährung wirklich „dezentral" und „unveränderlich" sein, wenn eine Gemeinschaft im Ernstfall doch beschließen kann, unliebsame Transaktionen rückgängig zu machen? Diese Debatte prägt die Krypto-Welt bis heute.
Der DAO-Hack war ein Wendepunkt: Er zeigte, wie gefährlich ungeprüfter Smart-Contract-Code sein kann, und zwang Ethereum zu einer Grundsatzentscheidung über seine eigenen Prinzipien. Das Ergebnis – zwei konkurrierende Blockchains mit gegensätzlicher Philosophie – ist bis heute sichtbar. Eine Lehre, die das Thema Sicherheit in der gesamten Branche für immer in den Mittelpunkt rückte.