The DAO

The DAO bezeichnet ein konkretes Projekt, einen der ersten groß angelegten Versuche, das Konzept einer decentralized autonomous organization in die Praxis umzusetzen. Es bestand aus einer Reihe von Smart Contracts auf Ethereum und wurde im April 2016 als von Mitgliedern gesteuerter Venture-Fund gestartet: Wer ETH an den Vertrag sandte, erhielt DAO-Token im Verhältnis zu seinem Beitrag, und die Tokenhalter konnten anschließend darüber abstimmen, welche Startups und Vorschläge mit dem gepoolten Kapital finanziert werden sollten. Der Crowdsale lief 28 Tage und brachte mehr als 150 Millionen Dollar in ETH ein, damals die größte Crowdfunding-Aktion der Geschichte und rund 14 % des gesamten im Umlauf befindlichen ETH.

Der Niedergang des Projekts lag an einem Codefehler, nicht an einem Governance-Problem. Die splitDAO-Funktion von The DAO sendete Ether an einen Aufrufer, bevor dessen internes Token-Guthaben aktualisiert wurde. Ein Angreifer nutzte diese Reihenfolge mit einem bösartigen Contract aus, dessen Fallback-Funktion die Abhebungslogik wiederholt erneut aufrief, bevor das Guthaben verringert war, ein Muster, das heute als Reentrancy-Angriff bekannt ist. Innerhalb weniger Stunden im Juni 2016 schleuste der Angreifer rund 3,6 Millionen ETH, etwa ein Drittel der eingesammelten Mittel, in einen Kindvertrag mit einer Haltefrist von 28 Tagen.

Diese Haltefrist verschaffte der Ethereum-Community Zeit zu reagieren, und die anschließende Debatte wurde fast ebenso bedeutsam wie der Diebstahl selbst. Ein Lager argumentierte, der Exploit habe exakt dem geschriebenen Code entsprochen, weshalb das Ergebnis, so unerwünscht es auch war, bestehen bleiben müsse. Das andere Lager hielt einen Bug nie für die Absicht der Community und drängte auf ein Eingreifen. Die Ethereum-Entwickler führten schließlich einen Hard Fork durch, der den Zustand der Chain zurücksetzte und die gestohlenen Mittel in einen Rückerstattungsvertrag verschob. Die Minderheit, die den Fork nach dem Prinzip "Code is Law" ablehnte, minte weiter auf der ursprünglichen, unveränderten Chain, die bis heute als Ethereum Classic fortbesteht.

Der DAO-Hack bleibt eine grundlegende Fallstudie zur Sicherheit von Smart Contracts. Er machte das Checks-Effects-Interactions-Muster für sicherere Contracts populär, verhalf formalen Audits zum Durchbruch als Standardpraxis und trug, über eine spätere SEC-Untersuchung zum Token-Sale, dazu bei, wie Regulierungsbehörden Token-Angebote einordnen.