L’estate 2016 ha messo alla prova le promesse della blockchain con due episodi molto diversi, che pongono però la stessa domanda al giurista: chi risponde quando qualcosa va storto in un sistema che si vuole senza intermediari?
The DAO: quando il codice è il contratto
The DAO (Decentralized Autonomous Organization) era un fondo di investimento senza gestore, scritto come smart contract sulla piattaforma Ethereum e sviluppato dalla startup tedesca Slock.it. Chi acquistava i suoi token poteva votare i progetti da finanziare. La raccolta, aperta il 30 aprile 2016 e durata 28 giorni, ha superato i 150 milioni di dollari da oltre 11.000 partecipanti: uno dei più grandi crowdfunding di sempre.
Il 17 giugno un attaccante ha sfruttato un difetto del codice, una «chiamata ricorsiva» che permetteva di prelevare più volte prima che il saldo fosse aggiornato. Ha spostato oltre 3,6 milioni di ether, circa un terzo dei fondi, per un valore di circa 50 milioni di dollari, in una DAO «figlia» da cui non potevano uscire per 28 giorni.
Il problema era anche giuridico. Le condizioni pubblicate sul sito di The DAO affermavano che le regole erano quelle scritte nel codice sulla blockchain e che nessun altro documento poteva modificarle o aggiungere obblighi. In altre parole, il codice prevale. L’attaccante, si è detto, non aveva violato nessuna regola: aveva solo usato il codice come era scritto.
La comunità di Ethereum ha deciso altrimenti. Dopo il fallimento di una prima soluzione (soft fork) per un problema di sicurezza, il 20 luglio 2016, al blocco 1.920.000, è stata eseguita una hard fork: le regole del protocollo sono state modificate per trasferire i fondi a un contratto di rimborso. Una parte della comunità ha rifiutato la modifica e ha continuato a usare la catena originale, oggi chiamata Ethereum Classic.
Bitfinex: la perdita divisa tra tutti
Il 2 agosto 2016 l’exchange Bitfinex, con sede a Hong Kong, ha subito il furto di 119.756 bitcoin, circa 72 milioni di dollari. I fondi dei clienti erano custoditi con un sistema a firme multiple (multisig) in collaborazione con BitGo. Il giorno della notizia il prezzo del bitcoin è sceso di oltre il 20%.
Il 6 agosto Bitfinex ha annunciato la sua soluzione: una perdita generalizzata del 36,067% applicata a tutti i conti e a tutte le attività, anche dei clienti che non detenevano bitcoin. In cambio, ogni cliente ha ricevuto token BFX pari alla perdita subita, rimborsabili dalla società o convertibili in azioni della capogruppo. Pochi mesi prima, il 2 giugno, la CFTC americana aveva sanzionato Bitfinex con 75.000 dollari per operazioni in criptovalute offerte senza registrazione.
| The DAO | Bitfinex | |
|---|---|---|
| Data | 17 giugno 2016 | 2 agosto 2016 |
| Che cosa è successo | Difetto dello smart contract sfruttato da un attaccante | Furto dai portafogli dell’exchange |
| Valore | Oltre 3,6 milioni di ether, circa 50 milioni di dollari | 119.756 bitcoin, circa 72 milioni di dollari |
| Soluzione | Hard fork del protocollo Ethereum (20 luglio) | Perdita del 36,067% su tutti i conti e token BFX |
| Chi ha deciso | La maggioranza della comunità, cioè miner e nodi | La società, unilateralmente |
Le domande per il giurista
- Il codice è legge? Il caso The DAO mostra che un contratto scritto in codice non elimina la necessità di interpretarlo. Se il codice contiene un errore, valgono le regole generali su errore, buona fede e arricchimento senza causa, o vale solo il codice?
- Chi governa un protocollo decentrato? La hard fork è stata decisa da una maggioranza di fatto, senza un soggetto responsabile. Era quello che l’EBA chiamava il problema della scheme governance authority.
- Che cos’è un token BFX? Un credito verso la società? Uno strumento finanziario? La conversione in azioni lo avvicina a un titolo.
- Una perdita si può «socializzare»? Bitfinex ha ripartito il danno su clienti estranei al furto. In un ordinamento come il nostro sarebbe un problema di separazione patrimoniale e di tutela del cliente.
Sono le stesse domande che ci siamo posti parlando della natura giuridica del bitcoin e delle tecnologie di contabilità distribuita. L’estate 2016 le ha rese molto concrete.
Area di attività dello Studio: Crypto-Asset, MiCA e DLT.
Domande frequenti
Che cos’era The DAO?
Un fondo di investimento decentrato, scritto come smart contract su Ethereum, che nel 2016 ha raccolto oltre 150 milioni di dollari.
Che cos’è una hard fork?
Una modifica delle regole del protocollo non compatibile con la versione precedente: chi non la accetta resta su una catena separata.
Come ha gestito Bitfinex il furto?
Ha applicato una perdita del 36,067% a tutti i conti e ha emesso token BFX a compensazione.
Una questione simile da valutare oggi?
Il quadro normativo è cambiato dal 2016: possiamo aiutarti a capire quali regole valgono oggi per il tuo caso.
Redazione ADLP — agosto 2016. Fonti: Ethereum Foundation; CFTC; Reuters/Fortune, 3 agosto 2016.
Nota informativa. I contenuti hanno finalità esclusivamente informative, nel rispetto degli artt. 17 e 17-bis del Codice Deontologico Forense, e non costituiscono parere legale. Per ogni valutazione sul caso concreto è necessario un confronto professionale.
© 2016 ADLP Studio Legale. Testi, immagini, grafiche e documenti di questo sito sono protetti dalla legge 22 aprile 1941, n. 633; la riproduzione è riservata (art. 65). Sono consentite citazioni e riprese, anche da parte di motori di ricerca e sistemi di IA, purché indichino l’autore, ADLP Studio Legale e il link all’articolo. Sono vietati copia e riuso senza attribuzione, nonché l’estrazione di testo e dati per addestrare modelli di IA (art. 70-quater).
