Entlastung der Platypus-Hacker: Strafrecht machtlos?

Am 1. Dezember 2023 sprach das Pariser Strafgericht die beiden Verdächtigen im Fall des Hacks der dezentralen Finanzplattform Platypus frei.

Zunächst ein Rückblick: Im Februar 2023 fiel das Platypus Finance-Protokoll einem Hack zum Opfer. Der Hacker erbeutete rund 8,5 Millionen US-Dollar in Stablecoins. (Dieser Beitrag beschreibt die technischen Details.)

Der Angriff zielte auf den USP-Stablecoin ab: Durch einen "Flash Loan" konnte der Hacker Sicherheiten hinterlegen, USPs leihen und dann seine Sicherheiten über eine fehlerhafte Auszahlungsfunktion abheben.

Überraschend amateurhaft wurde die Identität des Hackers dank der Arbeit von On-Chain-Ermittlern wie ZachXBT und der Unterstützung von Binance schnell aufgedeckt. Er wurde wenige Tage später von der Nationalpolizei festgenommen.

Während des Prozesses forderte der Staatsanwalt fünf Jahre Haft, davon zwei Jahre unbedingt, unter anderem wegen Betrugs und Geldwäsche.

Doch angesichts der geschickten Verteidigung der Angeklagten erkannte das Gericht den Tatbestand des Betrugs nicht an, da es nicht in der Lage war, das Vorliegen von betrügerischen Handlungen oder Täuschungen nachzuweisen. Da der Betrug nicht anerkannt wurde, konnte auch die Geldwäsche nicht festgestellt werden. Der Hacker geht daher frei aus.

Laut den Informationen in Le Monde hatte das Gericht dennoch die Feinfühligkeit, den Hacker darauf hinzuweisen, dass der Freispruch kein "Freibrief" sei, sondern lediglich die Folge der Tatsache, dass "die Anklagen strafrechtlich nicht haltbar sind".

Und der Richter verweist auf eine mögliche Zivilklage - als einzige Möglichkeit für das Protokoll, Entschädigung zu erhalten. "Sie haben immer noch eine Schuld im Zusammenhang mit dem Darlehen, und Platypus wird wahrscheinlich zivilrechtlich gegen Sie vorgehen..."

Diese Entscheidung ist überraschend, beunruhigend und sogar gefährlich - aus zwei Gründen.

Unzureichendes Strafrecht

Erstens erklärt der Richter im Wesentlichen, dass das französische Strafrecht in seiner derzeitigen Fassung machtlos ist. Strafrechtliche Qualifikationen sind nicht auf Hacks oder Angriffe auf dezentrale Finanz (DeFi)-Protokolle zugeschnitten. Selbst wenn betrügerische Absichten offensichtlich sind, kann der Richter nicht verurteilen.

Natürlich darf nicht vergessen werden, dass das Strafrecht streng ausgelegt wird.

Dennoch bleibt der Eindruck, dass Hacker in Frankreich durch das Gesetz geschützt sind. Dies hat bereits Hunderte von ironischen Reaktionen in sozialen Netzwerken ausgelöst, die von Vergleichen mit Nordkorea (bekannt für die Unterstützung der Hackergruppe Lazarus) bis hin zu Aufrufen an angehende Cyberkriminelle reichen, nach Frankreich zu ziehen.

Vor allem wird diese Entscheidung als weiteres Argument für diejenigen dienen, die erklären, dass DeFi gesetzlos ist und daher so schnell wie möglich reguliert werden muss.

Ein Smart Contract ist kein Vertrag

Zweitens scheint der Richter von einer bestimmten Auslegung des berühmten 'Code is Law'-Prinzips überzeugt worden zu sein. Wie sonst ist der Verweis auf das Darlehen und die vom Hacker dem Protokoll geschuldete Schuld zu verstehen?

Es scheint, dass der Richter bestimmte strafrechtliche Anklagen (insbesondere Diebstahl und Betrug) mit der Begründung abgewiesen hat, dass die Interaktion des Hackers mit dem Smart Contract einen "Vertrag" bildete. In diesem Fall einen Darlehensvertrag.

Der Hacker, der als Kreditnehmer der gehackten Gelder angesehen wird, kann daher weder Betrüger noch Dieb sein. Folgt man dieser rechtlichen Logik, so gehören die gehackten Gelder sogar ihm, wobei es an ihm liegt, sie zurückzuzahlen. Die Annahme des Bestehens einer vertraglichen Beziehung würde daher jede Feststellung einer Straftat ausschließen.

Diese Auslegung ist gefährlich und fragwürdig. Offensichtlich wurde der Richter von der Verteidigung in die Irre geführt, die opportunistisch mit der semantischen Vermischung zwischen Smart Contract und Vertrag spielte. Kurz gesagt, "Code is law". Ein Smart Contract ist jedoch kein Vertrag, sondern lediglich ein Computerprogramm, das je nach Fall die Grundlage oder das Instrument einer vertraglichen Beziehung sein kann.

Und angenommen, es wäre tatsächlich ein Vertrag zwischen dem Hacker und dem Protokoll zustande gekommen, warum nicht weitergehen und ihn anfechten? War der Vertrag gültig? War seine Entstehung nicht durch einen Nichtigkeitsgrund beeinträchtigt? (Vermutlich... Betrug?)

Auch hier hat das englischsprachige Crypto Twitter keinen Fehler gemacht und über die Anerkennung von "Code is the law" gespottet. Wie dem auch sei, selbst wenn es in der Berufung aufgehoben wird, ist diese Entscheidung bereits geeignet, viele Akteure in die Irre zu führen.

Abschließend sollten wir diese Entscheidung des Pariser Strafgerichts nicht zu schnell verallgemeinern. Es handelt sich nur um eine erstinstanzliche Entscheidung, und es gibt nichts, was darauf hindeutet, dass sie einen Präzedenzfall schaffen wird. Es ist immer noch möglich, dass die Staatsanwaltschaft Berufung einlegt.

Für einen Anwalt ist es schwierig, fast unnatürlich, einen Staatsanwalt zu ermutigen, Berufung einzulegen und eine strengere Strafe zu fordern... Aber diesmal müssen wir eine Ausnahme machen: Im Interesse des gesamten Krypto-Ökosystems ist es entscheidend, dass gegen diese Entscheidung Berufung eingelegt wird. Es ist entscheidend, dass ein Berufungsgericht das Offensichtliche bestätigt: Ja, das Hacken von dezentralen Finanzprotokollen ist strafrechtlich verboten.