Ein neues theoretisches Paper macht unter Ethereum-Forschern die Runde, und seine zentrale Aussage ist deutlich: Die Sicherheitsmathematik hinter dem Byzantine Fault Tolerance Consensus auf Ethereum und die Art und Weise, wie DeFi-Orakel Preise melden, beruhen beide auf Annahmen, die nicht mehr gelten, sobald das Verhalten von Validatoren tatsächlich gemessen wird. Veröffentlicht im August 2026 im Ethereum-Forschungsforum ethresear.ch, argumentiert die Analyse des Forschers Hudu Yusuf, dass Ethereums Sicherheitsmarge einer ehrlichen Mehrheit bei weitem nicht an die lehrbuchmäßigen 33 % heranreicht, sobald korreliertes Validatorverhalten berücksichtigt wird – und dass jeder große Orakelanbieter, von Chainlink bis Pyth, eine Strategie fährt, die laut Paper mathematisch suboptimal ist.
Summary
Wichtigste Erkenntnisse
- Ein neuer Satz namens „Coordination Collapse“ zeigt, dass Validatoren, die sich identisch verhalten, fast ihr gesamtes effektives Stimmgewicht verlieren, selbst wenn sie einen großen Anteil des nominalen Stakes kontrollieren.
- Auf Ethereums tatsächliches Validator-Set angewendet, halten die 3 größten Entitäten etwa 60 % nominalen Stake, aber nur rund 15,7 % effektives Gewicht, sobald Verhaltensdiversität einbezogen wird.
- Solo-Validatoren mit nur 22,3 % nominalem Stake kontrollieren am Ende mehr als 60 % der effektiven Stimmkraft, weil ihr Verhalten deutlich weniger korreliert ist.
- Ein zweiter Satz argumentiert, dass Orakel, die bei Unsicherheit Daten zurückhalten, immer-publizierenden Designs überlegen sind; ein Backtest von 30 großen DeFi-Exploits ergab, dass der stille Ansatz alle verhindert hätte und damit geschätzte 3,315 Milliarden US-Dollar geschützt hätte.
- Jedes untersuchte, bereits eingesetzte Orakelnetzwerk – Chainlink, Pyth, UMA, Band, API3 und RedStone – verwendet derzeit ein Always-Publish-Modell, das das Paper als strukturell verwundbar bezeichnet.
Coordination Collapse: Verhaltenskorrelation untergräbt Stimmkraft
Das erste und folgenreichste Ergebnis des Papers ist, dass der tatsächliche Einfluss eines Validators auf den Konsens weit weniger davon abhängt, wie viel Stake er hält, als davon, wie unabhängig er sich verhält. Ethereums Proof-of-Stake-System gewichtet derzeit jede Stimme ausschließlich nach dem nominalen Stake – ein Validator mit mehr ETH erhält einfach mehr Mitspracherecht. Das neue Rahmenwerk, genannt DW-BFT (Diversity-Weighted BFT), argumentiert, dass dies die völlig falsche Kennzahl ist.
Gewichtetes BFT und die Diversitätsformel hinter DW-BFT
Das Modell führt ein „Diversitätsgewicht“ für jeden Validator ein, das berechnet wird, indem sein Verhaltensmuster – Attestierungs-Timing, MEV-Boost-Relay-Auswahl, Blockbau-Gewohnheiten, Reorg-Teilnahme – mit dem durchschnittlichen Verhalten des Netzwerks verglichen wird. Validatoren, die nahezu identisch wie alle anderen abstimmen und Blöcke bauen, erzielen bei dieser Diversitätsmetrik nahezu null Punkte, unabhängig davon, wie viel ETH sie gestakt haben. Der daraus resultierende Satz 1, „Coordination Collapse“ genannt, besagt, dass ein Kartell von Validatoren mit nahezu identischen Verhaltensvektoren sein effektives Stimmgewicht gegen null konvergieren sieht, wenn die interne Korrelation sich 1 nähert – unabhängig vom nominalen Stake.
Das stellt eine direkte Herausforderung für die Art dar, wie Ethereum derzeit seine 33-%-Fehlertoleranzgrenze formuliert. Das Paper behauptet, dass die Sicherheitsmarge „ehrlich durch Konstruktion“ keineswegs 33 % beträgt, sobald korreliertes Verhalten eingepreist wird – sie liegt eher im einstelligen Bereich, weil große Staking-Entitäten, die im Gleichschritt agieren, tatsächlich keine unabhängige Sicherheit hinzufügen, sondern nur dieselbe Stimme duplizieren.
Ethereums Validator-Set durch die DW-BFT-Linse
Um die Theorie zu testen, zog der Forscher Verhaltensdaten der 50 größten Ethereum-Validator-Entitäten nach Einzahlungsanteil heran und deckte damit rund 4,2 Millionen Epochen zwischen Mai und Juli 2026 ab. Die Zahlen sind bemerkenswert. Lido hält 28,4 % nominalen Stake, erzielt aber eine niedrige Verhaltensdiversität; Coinbase und Binance liegen bei 15,1 % bzw. 13,7 % nominalem Stake mit ähnlich korrelierten Verhaltensmustern. Zusammen kontrollieren die 3 größten Entitäten etwa 57,2 % nominalen Stake, aber nur rund 15,7 % effektives Gewicht im DW-BFT-Modell – ein Wert, der deutlich unter der Fehlertoleranzgrenze liegt, im Gegensatz zu ihrem reinen Stake-Anteil.
Verteilte Solo-Validatoren erzählen die gegenteilige Geschichte. Sie halten nur 22,3 % des nominalen Stakes, aber weil ihr Verhalten deutlich weniger mit dem Netzwerkdurchschnitt korreliert, kommandieren sie am Ende rund 60,2 % der effektiven Stimmkraft. Mit anderen Worten: Unter standardmäßigem stake-gewichteten BFT könnten theoretisch einige wenige große Entitäten koordinieren, um ungültige Blöcke zu finalisieren. Unter DW-BFT lässt dieselbe Koordination ihren Einfluss kollabieren, statt ihn zu verstärken.
Warum ist das über die Mathematik hinaus wichtig? Weil es die gesamte Debatte über Staking-Zentralisierung auf Ethereum neu rahmt. Regulierer, Forscher und Community haben jahrelang befürchtet, dass der kombinierte Stake von Lido, Coinbase und Binance gefährliche Schwellen überschreitet. Das DW-BFT-Rahmenwerk legt nahe, dass die dringendere Variable nicht die Höhe des Stakes dieser Entitäten ist, sondern wie ähnlich sie sich verhalten – ein Faktor, den das aktuelle Konsensdesign überhaupt nicht misst.
Simulationsergebnisse untermauern den Punkt. In 10.000 Angriffsszenarien mit Sybil-Validatoren bei unterschiedlichen Korrelationsniveaus stellte das Paper fest, dass der Standard-Byzantine Fault Tolerance Consensus einem koordinierten Kartellangriff in 100 % der Fälle erliegt, sobald die interne Korrelation einen perfekten Wert von 1,00 erreicht. Unter DW-BFT hat derselbe perfekt korrelierte Kartellangriff eine Erfolgsquote von 0 %. Selbst bei moderateren Korrelationsniveaus – 0,75 und 0,90 – steigt die Angriffserfolgsrate des Standard-BFT auf 41,7 % bzw. 75,8 %, während DW-BFT im niedrigen einstelligen Bereich bleibt. Das System, so das Paper, muss nicht wissen, dass ein Angriff kommt; die eigene Uniformität eines Kartells verrät es.
Das Plädoyer für strukturierte Stille im Orakel-Design
Der zweite Satz des Papers widmet sich einer anderen Ecke der DeFi-Infrastruktur: Preisorakeln. Sein Fazit ist für die Branche ebenso unangenehm. Orakel, die bereit sind, nichts zu veröffentlichen, wenn Daten verdächtig aussehen, schneiden besser gegen Manipulation ab als Orakel, die immer eine Zahl liefern müssen, und das Paper argumentiert, dass dies das heute dominante Orakel-Design von vornherein veraltet macht.
Warum Datenzurückhaltung dem Immer-Publizieren überlegen ist
Jedes eingesetzte Orakelnetzwerk – Chainlink, Pyth, UMA, Band, API3 und RedStone – arbeitet mit einem Always-Publish-Modell und behandelt einen veralteten oder manipulierten Preis als besser als gar keinen Preis. Satz 2, den das Paper „Optimality of Structured Silence“ nennt, beweist, dass ein Orakel, das bei messbarer Unsicherheit Daten zurückhält, einen strikt geringeren erwarteten Verlust erzeugt als eines, das immer veröffentlicht – vorausgesetzt, der Gegner verfügt über ein endliches Angriffsbudget –, wenn der Schaden durch die Veröffentlichung eines falschen Werts größer ist als die Kosten einer kurzen Verzögerung.
Der Mechanismus stützt sich auf eine Kohärenzmetrik, die bewertet, wie gut eine aktuelle Preisbeobachtung zur akkumulierten Verhaltenhistorie eines Assets passt – Dinge wie Konsistenz der Ströme zwischen Börsen und Stabilität auf Wallet-Ebene. Wenn die Kohärenz unter einen festgelegten Schwellenwert fällt, veröffentlicht das Orakel nichts, teilt aber weiterhin Metadaten mit: welches Signal ausgefallen ist, wie stark es abwich und eine geschätzte Zeit bis zur Wiederherstellung. Dies ist die praktische Grundlage dessen, was das Paper als echte stille Orakelstrategie einordnet, positioniert als direkte Form der Orakelmanipulationsabwehr, die heutige Always-On-Feeds schlicht nicht bieten.
Backtesting von Stille gegen 30 DeFi-Exploits
Um die Theorie an realen Risiken zu testen, backtestete der Forscher beide Strategien gegen jeden größeren Orakelmanipulations-Exploit seit 2020 – 30 einzelne Ereignisse mit insgesamt 3,315 Milliarden US-Dollar Verlusten. Der Always-Publish-Ansatz, der das Verhalten von Chainlink- und Pyth-ähnlichen Orakeln widerspiegelt, verhinderte keinen der 30 Exploits. Die stille Orakelstrategie mit einem Schwellenwert von 0,62 verhinderte alle 30.
Dieser Schutz ging mit realen Trade-offs einher. Die stille Strategie löste während Hochvolatilitätsereignissen, die keine tatsächlichen Angriffe waren, eine Falsch-Positiv-Rate von 100 % aus und erzeugte 2.147 unnötige Stillen im Backtest-Zeitraum. Die durchschnittliche Stille dauerte nur 2,4 Blöcke, und das Paper schätzt, dass die daraus resultierende Verzögerung die Verbraucher rund 11 Millionen US-Dollar an Liquidationsfriktion kostete – ein Bruchteil der 3,315 Milliarden US-Dollar, die die Strategie geschützt hätte. Wie der Forscher es formuliert: Ein Orakel, das bereit ist, bei Unklarheit kurz zu pausieren, verliert einen Hauch an Durchsatz, schützt aber praktisch alle Nutzerfonds, während ein Always-On-Orakel perfekt verfügbar und perfekt ausnutzbar bleibt.
Wie geht es weiter: Implementierungshürden und offene Fragen
Beide Ergebnisse deuten auf dieselbe Schlussfolgerung hin: Um sie umzusetzen, wären kurzfristige Protokolländerungen nötig, und mehrere ernsthafte Risiken bleiben ungelöst. Das Paper stellt ausdrücklich klar, dass es sich um Vorschläge und nicht um fertige Technik handelt, und listet seine eigenen Zweifel neben den Ergebnissen auf.
Umbau von Konsens- und Orakelprotokollen
Auf der Konsensseite argumentiert das Paper, dass Ethereums Finalisierungsmechanismus Stimmen mithilfe des Diversitätsfaktors d_j neben dem Stake s_j gewichten sollte, statt nur nach Stake – was bedeutet, dass eine große Validator-Entität, die immer identisch mit der Masse abstimmt, einen Einfluss nahe dem eines einzelnen unabhängigen Validators haben sollte, nicht ein Vielfaches davon. Bemerkenswert ist, dass die Analyse nahelegt, dass dieselbe Verhaltensdiversitäts-Linse Bedenken hinsichtlich der MEV-Boost-Builder-Zentralisierung organisch entschärfen würde, da korrelierte Builder automatisch Proposer-Einfluss verlieren würden, ohne dass ein separates Redesign der Proposer-Builder-Trennung nötig wäre.
Auf der Orakelseite bedeutet die Einführung einer stillen Strategie, dass DeFi-Protokolle „kein Wert verfügbar“ als legitime, erwartete Ausgabe und nicht als Systemfehler behandeln müssen. Das ist ein struktureller Wandel: Die meisten Kreditmärkte, Perpetual-Börsen und Liquidations-Engines gehen heute davon aus, dass ein Preisfeed immer live ist, und müssten erheblich neu konstruiert werden, um Lücken ohne Bruch von Nutzerpositionen elegant zu handhaben.
Angriffsvektoren, die noch ungelöst sind
Das Paper ist offen darin, wo es falsch liegen könnte. Es hebt mehrere offene Probleme hervor, die Forscher lösen müssten, bevor eine der Ideen produktionsreif wird:
- Sybil-Dekorrelationsangriffe, bei denen ein Angreifer sich in viele Entitäten aufspaltet, die sich die meiste Zeit unterschiedlich verhalten, dann aber im Moment des Angriffs koordinieren und so die Diversitätsgewichtung ausnutzen.
- Das Risiko von DW-BFT, ehrliche Validatoren zu bestrafen, die während des normalen Konsenses zu Recht gleich abstimmen, da Korrelation allein Koordination nicht vollständig von legitimer Übereinstimmung unterscheiden kann.
- Die Möglichkeit, die Kohärenzmetrik selbst durch einen gut finanzierten Angreifer zu manipulieren, was laut Paper etwa 40- bis 60-mal mehr Kapital erfordern würde, als einen Preisfeed direkt anzugreifen.
- Der Prozess der Verhaltens-Feature-Extraktion, der derzeit auf einer zentralisierten, halb-vertrauenswürdigen Komponente statt auf einer vollständig dezentralen Berechnung beruht.
Diese Vorbehalte sind wichtig, weil sie definieren, wie viel Arbeit zwischen einem interessanten Satz und einer auslieferbaren Protokolländerung steht. Die Erkenntnisse zur Validator-Diversität auf Ethereum und die stille Orakelstrategie stützen sich beide auf solide Simulations- und Backtestdaten, aber das Paper selbst versteht sie als Ausgangspunkte für die Prüfung durch die Community und nicht als fertige Technik und lädt zu Widerlegungen, alternativen Simulationen und Konstruktionen ein, in denen die Sätze möglicherweise nicht gelten.
FAQ
Warum reduziert Verhaltenskorrelation von Validatoren das effektive Stimmgewicht in DW-BFT?
Weil Validatoren mit nahezu identischen Verhaltensvektoren stark korrelieren, nähert sich ihr Diversitätsgewicht null, was ihre effektive Stimmkraft unabhängig vom nominalen Stake verringert.
Wie verbessert die stille Orakelstrategie die Verteidigung gegen Preismanipulation?
Durch das Zurückhalten von Veröffentlichungen, wenn Kohärenzmetriken auf Unsicherheit hinweisen, vermeiden stille Orakel das Veröffentlichen manipulierter Werte und verringern den erwarteten Verlust im Vergleich zum immerwährenden Veröffentlichen verwundbarer Daten.
Was sind die größten Herausforderungen bei der Implementierung von DW-BFT und stillen Orakelstrategien?
Herausforderungen umfassen die Anpassung von Konsensprotokollen zur Gewichtung von Stimmen nach Verhaltensdiversität, die Modifikation von DeFi-Protokollen zum Umgang mit fehlenden Orakeldaten und die Abwehr neuer Angriffsvektoren wie Sybil-Dekorrelation und Kohärenzmanipulation.
Warum bleiben Always-Publish-Orakel trotz weitverbreiteter Nutzung verwundbar?
Always-Publish-Orakel priorisieren Verfügbarkeit gegenüber Datenintegrität und halten Daten selbst während adversarialer Manipulationen nie zurück, was Angreifern ermöglicht, veraltete oder manipulierte Feeds auszunutzen.
{„@context“:“https://schema.org“,“@type“:“FAQPage“,“mainEntity“:[{„@type“:“Question“,“name“:“Warum reduziert Verhaltenskorrelation von Validatoren das effektive Stimmgewicht in DW-BFT?“,“acceptedAnswer“:{„@type“:“Answer“,“text“:“Weil Validatoren mit nahezu identischen Verhaltensvektoren stark korrelieren, nähert sich ihr Diversitätsgewicht null, was ihre effektive Stimmkraft unabhängig vom nominalen Stake verringert.“}},{„@type“:“Question“,“name“:“Wie verbessert die stille Orakelstrategie die Verteidigung gegen Preismanipulation?“,“acceptedAnswer“:{„@type“:“Answer“,“text“:“Durch das Zurückhalten von Veröffentlichungen, wenn Kohärenzmetriken auf Unsicherheit hinweisen, vermeiden stille Orakel das Veröffentlichen manipulierter Werte , und verringern den erwarteten Verlust im Vergleich zum immerwährenden Veröffentlichen verwundbarer Daten.“}},{„@type“:“Question“,“name“:“Was sind die größten Herausforderungen bei der Implementierung von DW-BFT und stillen Orakelstrategien?“,“acceptedAnswer“:{„@type“:“Answer“,“text“:“Herausforderungen umfassen die Anpassung von Konsensprotokollen zur Gewichtung von Stimmen nach Verhaltensdiversität, die Modifikation von DeFi-Protokollen zum Umgang mit fehlenden Orakeldaten und die Abwehr neuer Angriffsvektoren wie Sybil-Dekorrelation und Kohärenzmanipulation.“}},{„@type“:“Question“,“name“:“Warum bleiben Always-Publish-Orakel trotz weitverbreiteter Nutzung verwundbar?“,“acceptedAnswer“:{„@type“:“Answer“,“text“:“Always-Publish-Orakel priorisieren Verfügbarkeit gegenüber Datenintegrität und halten Daten selbst während adversarialer Manipulationen nie zurück, was Angreifern ermöglicht, veraltete oder manipulierte Feeds auszunutzen.“}}]}
Artikel mit Unterstützung künstlicher Intelligenz erstellt und von der Redaktion überprüft.
