Proof of Reserves

Ein Proof of Reserves behauptet, dass die Bestände, die die Börse kontrolliert, die Kundenguthaben zu einem Zeitpunkt erreichen oder übersteigen. Die Bestandshälfte ist der leichte Teil: Die Börse nennt die Adressen, die sie kontrolliert, und belegt die Kontrolle mit einer Signatur. Die Guthaben dieser Adressen kann jeder auf der Chain lesen.

Drei Dinge fehlen. Der Nachweis gilt für einen Zeitpunkt, sagt also nichts über den Tag davor oder danach. Er sagt nichts über Schulden an andere als Kunden, etwa an einen Kreditgeber mit vorrangigem Anspruch. Und solange die Verbindlichkeiten nicht ebenfalls belegt sind, hält nichts die Börse davon ab, ihre Schulden zu niedrig anzugeben.

Für die Verbindlichkeiten dient ein Merkle-Baum. Jedes Kundenkonto wird zu einem Blatt, gebildet aus einem Hash über Kontokennung, Guthaben und einen eindeutigen Zufallswert, damit niemand ein Guthaben aus dem Hash lesen kann. Blätter werden paarweise gehasht, die Ergebnisse wieder paarweise, bis oben ein Hash übrig bleibt: die Merkle-Wurzel. Ändert sich ein einzelnes Guthaben, ändert sich die Wurzel. Die Wurzel bindet die Börse also an die gesamte veröffentlichte Menge ihrer Verbindlichkeiten.

Ein Kunde prüft die Aufnahme mit einem Merkle-Pfad, der kurzen Liste von Geschwister-Hashes, die aus seinem Blatt die Wurzel rekonstruieren. Der Kunde hasht seine eigenen Kontodaten, verbindet sie der Reihe nach mit jedem Hash des Pfads und prüft, ob das Ergebnis der veröffentlichten Wurzel entspricht. Eine Darstellung der Konstruktion zeigt den Pfad Schritt für Schritt. Stimmt es, ist belegt, dass sein Guthaben in der Summe steckt.

Ein Aufnahmebeweis sagt einem Kunden, dass sein Guthaben gezählt wurde. Er sagt ihm nicht, dass alle anderen gezählt wurden. Eine Börse kann Konten aus dem Baum weglassen, und nur die Weggelassenen würden es merken, oder erfundene Konten mit negativen Guthaben einfügen, um die Summe zu senken. Keine der beiden Manipulationen ist für einen Kunden sichtbar, der seinen eigenen Pfad prüft.

Diese Lücke schließt entweder ein Prüfer, der bestätigt, dass der Baum aus dem vollständigen Kontenbuch gebildet wurde, oder ein kryptografisches Verfahren, das belegt, dass kein Guthaben im Baum negativ ist. Der zweite Weg nutzt Zero-Knowledge-Beweise: Die Börse belegt, dass die Summe stimmt und kein Eintrag negativ ist, ohne ein einzelnes Guthaben zu zeigen. Die Umsetzung ist aufwendiger, darum verlassen sich die meisten Nachweise bei diesem Schritt weiter auf einen Prüfer. Merkle Science nennt die vollständige Fassung Proof of Solvency: Proof of Reserves plus Proof of Liabilities.

Was die Branche Proof of Reserves nennt, ist meist ein Testat, keine Prüfung. Eine Wirtschaftsprüfungsgesellschaft führt vereinbarte Handlungen zu einem Zeitpunkt durch und berichtet den Befund, ohne ein Urteil über den Abschluss abzugeben und ohne das interne Kontrollsystem zu testen. Eine Abschlussprüfung deckt eine ganze Periode ab, testet die Kontrollen und trägt ein Urteil, für das der Prüfer haftet.

Manche Börsen haben Reservezahlen ganz ohne unabhängige Stelle veröffentlicht, und das ist eine Selbsterklärung. Ein Kunde unterscheidet das, indem er im Dokument nach dem Namen der Gesellschaft, der Beschreibung des Auftrags und dem Datum sieht. Welche Handlungen ein Abschlussprüfer bei Krypto wirklich vornimmt, steht auf Krypto-Prüfung.

Die europäische Regulierung geht einen anderen Weg zur gleichen Sorge. Ein lizenzierter Kryptodienstleister, der Kundenwerte hält, muss sie vom eigenen Bestand trennen, Bestände gleicher Art und Menge für die Ansprüche seiner Kunden halten und für Verluste aus einem Vorfall haften, wenn er nicht nachweist, dass sie ohne sein Verschulden entstanden sind. Ein Verwahrer schuldet seinen Kunden zudem eine Aufstellung ihrer Positionen und muss ein Register je Kunde führen.

Das ist eine laufende Pflicht, die eine Aufsicht durchsetzt, während ein Proof of Reserves eine freiwillige Momentaufnahme ist. Die zwei ersetzen sich nicht: Ein MiCA-lizenzierter Platz muss keine Merkle-Wurzel veröffentlichen, und eine veröffentlichte Wurzel belegt keine Lizenz. Ein deutscher Kunde prüft zuerst die Erlaubnis, und darum geht es auf CASP-Lizenz.

FTX hielt Kundenguthaben, die eine verbundene Handelsfirma finanzierten, und von außen war das nicht zu sehen, weil es keine unabhängige Prüfung der Reserven gab. Nach dem Zusammenbruch im November 2022 veröffentlichten die meisten großen Börsen binnen Monaten eine Form von Reservetestat. Die Praxis antwortete auf eine echte Frage und wurde zugleich ein Werbeargument. Darum zählt die Methode mehr als das Vorhandensein einer Seite.

Bei Stablecoin-Emittenten regelt eine Vorschrift dieselbe Sorge statt einer Gewohnheit. MiCA legt fest, woraus die Reserve eines E-Geld-Tokens bestehen muss, wo sie liegt und wie darüber berichtet wird. Das behandelt die Antwort zu Stablecoin-Reserven.

Nein. Er ist ein Beleg über einen Zeitpunkt und in den meisten Fassungen über eine Hälfte der Bilanz. Eine Börse kann montags einen gültigen Nachweis veröffentlichen und dienstags die Bestände bewegen, und der Nachweis sagt nichts über Schulden an Kreditgeber, die vor den Kunden stehen. Er ist ein nützliches Signal, und er begründet keinen Anspruch, wenn die Börse ausfällt. Ein Anspruch entsteht aus einer Lizenz, aus getrennter Verwahrung bei einer regulierten Einheit oder aus einer Versicherung. Die Letzte behandelt Krypto-Versicherung.

Monatlich ist der gängige Rhythmus, und häufiger ist besser, gerade weil der Nachweis einen Zeitpunkt abdeckt. Eine Aufnahme je Quartal lässt ein langes Fenster ohne Belege, und eine Börse, die sich für den Stichtag Bestände leihen kann, erfüllt einen vorhersehbaren Plan, ohne die Werte sonst zu halten. Unangekündigte Zeitpunkte und laufend offengelegte Adressen helfen dagegen, und beides ist nicht Standard.

Die Aufnahme des eigenen Guthabens ja, sobald die Börse Pfad und Wurzel veröffentlicht. Das eigene Blatt zu hashen und den Pfad abzulaufen ist Rechnen, das ein Browser leistet, und die meisten Börsen mit Nachweis stellen dafür ein Werkzeug bereit. Allein nicht prüfbar sind die Vollständigkeit, also ob jedes andere Konto gezählt wurde, und die Bestandsseite über das Lesen der Adressen hinaus, die die Börse offengelegt hat. Diese zwei Teile brauchen den Prüfer oder das Zero-Knowledge-Verfahren.