Coinrail löschte seine Entschädigungsklausel zehn Tage, bevor es ein Drittel seiner Coins verlor

In den frühen Morgenstunden des 10. Juni 2018 leerten Angreifer in einem 40-minütigen Zugriff rund 3,6 Milliarden Token aus neun Arten – Pundi X, NPER, Aston, TRON, Storm und andere – aus Coinrails Hot Wallet. Die Beute war rund 40 Milliarden ₩ (etwa 37 Mio. USD) wert, rund 30 % alles dessen, was die kleine Seouler Börse hielt, und damit der bis dahin größte Krypto-Börsendiebstahl Koreas. Die Nachricht drückte Bitcoin um etwa 7 % und löschte innerhalb von Stunden rund 30 Milliarden USD an Krypto-Marktwert aus.

Der Einbruch ereignete sich zehn Tage, nachdem Coinrail seine Bedingungen umgeschrieben hatte. Im April 2018 prüfte die koreanische Fair Trade Commission die Bedingungen von zwölf Börsen, fand vierzehn Arten unfairer Klauseln – vor allem pauschale Haftungsausschlüsse, die Hacking-Verluste auf die Kunden verlagerten – und ordnete Korrekturen an. Wettbewerber schrieben ihre Entschädigungsklauseln im Mai um; Coinrail hingegen löschte Artikel 20(4), die Schadensersatzbestimmung, am 31. Mai kurzerhand vollständig und behielt nur die Klausel, die die eigenen Ansprüche des Unternehmens gegen Mitglieder wahrte. Die FTC merkte an, dass eine Löschung die Haftung nicht beseitigt: Das Zivilrecht verlangt eine Barentschädigung.

Der Handel lag mehr als einen Monat lang darnieder. Die erste Erklärung der Börse besagte, 70 % der Vermögenswerte seien in Cold Storage sicher, zwei Drittel der gestohlenen Token seien bei Emittenten und Partnerbörsen eingefroren worden, und der Diebstahl habe weniger bekannte Token statt Bitcoin betroffen. Als der Dienst am Abend des 15. Juli wieder aufgenommen wurde, erzählte die eigene Wiederherstellungsmitteilung eine andere Geschichte: 34,8 % des Bitcoin der Nutzer waren noch nicht wiedererlangt, daneben TRX 33,1 %, KNC 29,9 %, STORM 56,1 %, NPXS 84,2 %, ATX 42,9 % und NPER 89,4 %.

Der Wiederherstellungsplan bot den Nutzern zwei Optionen: warten, bis die Börse nicht wiedererlangte Token aus künftigen Betriebsgewinnen zurückkauft, oder Guthaben zu einem festen Satz von 1 RAIL = 0,72 ₩ in RAIL, Coinrails eigenen Token, tauschen. Anleger lehnten beides als wertunsicher ab und reichten Unterschlagungsanzeigen gegen CEO Nam Kyung-sik ein; am 5. Juli 2018 verwies die Polizei von Gangnam den Fall an das Team für Wirtschaftskriminalität der Staatsanwaltschaft beim Zentralbezirk Seoul, das das tatsächliche Ausmaß der Verluste benötigte, um ihn zu verfolgen.

~37 Mio. USD (40 Mrd. ₩) an Token weg – darunter 34,8 % des Bitcoin der Nutzer nicht wiedererlangt; Handel fünf Wochen lang darnieder, während die Märkte fielen

Zwei Drittel der Vermögenswerte der Börse lagen in einer internetverbundenen Hot Wallet, sodass 30 % alles dessen, was die Nutzer besaßen, einem einzigen Eindringen ausgesetzt war, das vierzig Minuten dauerte.

Die Compliance-Reaktion auf die Anordnung der FTC war Löschung statt Reparatur – die Klausel, die die Entschädigungsansprüche der Kunden verankert hätte, war gerade das, was entfernt wurde.

Die erste Offenlegung spielte den Verlust herunter: „Bitcoin unberührt“ wurde erst zu „34,8 % des Bitcoin nicht wiedererlangt“, als der Dienst fünf Wochen später wieder aufgenommen wurde.

Die Entschädigung wurde in dem eigenen Token des gescheiterten Unternehmens und in seinen künftigen Gewinnen denominiert – Instrumente, deren Wert vollständig von der Einheit abhing, die gerade die Vermögenswerte nicht hatte schützen können.

Die Klausel zu löschen, die eine Entschädigung der Kunden versprach, löscht nicht die Verpflichtung – und eine Börse, die ein Drittel der Kundenvermögen in einer Hot Wallet hält, trägt jeden Verlust, der daraus folgt.

Auszahlungen wurden am 15. Juli 2018 nur für wiedererlangte Coins wieder geöffnet; der Rest der Guthaben der Nutzer ging standardmäßig in die Optionen Rückkauf oder RAIL über. Eine Unterschlagungsanzeige gegen CEO Nam Kyung-sik erreichte am 5. Juli 2018 die Staatsanwaltschaft Seoul, wobei die Verlusthöhe noch zu verifizieren war. Die Position der Fair Trade Commission stand zu Protokoll: Das Löschen einer Klausel befreit eine Börse nicht von der Pflicht, eine Barentschädigung zu zahlen. Innerhalb von Monaten ging Korea dazu über, Handelskonten auf den echten Namen und Sicherheitszertifizierungen für Börsen zu verlangen, und schloss damit die Regulierungslücke, die dieser Hack offengelegt hatte.