Stablecoin-Attestierung vs. Audit: Was Reserveberichte wirklich belegen

Warum Stablecoin-Reserveberichte fast jeden verwirren

Wenn du jemals USDC, USDT, BUSD oder TUSD verglichen und versucht hast herauszufinden, welcher am sichersten ist, bist du wahrscheinlich auf eine Mauer gestoßen. Jeder Emittent sagt, er sei gedeckt. Jeder Emittent veröffentlicht einen Bericht. Und jeder Emittent bezeichnet diesen Bericht in informeller Sprache als Audit. Sie sind nicht dasselbe, und die Kluft zwischen ihnen ist groß genug, um zu verändern, wie du über das Risiko beim Halten eines Stablecoins denken solltest.

Die Verwirrung ist nicht zufällig. Begriffe wie geprüft, verifiziert, testiert und reviewed werden in Marketingtexten synonym verwendet, obwohl sie Leistungen mit sehr unterschiedlicher Prüfungstiefe beschreiben. Eine Prüfung mit hinreichender Sicherheit, also die Art, die die meisten Leser beim Hören des Wortes annehmen, verlangt von einer Wirtschaftsprüfungsgesellschaft, Nachweise zu sammeln, interne Kontrollen zu testen, Transaktionen stichprobenartig zu prüfen und ein formelles Urteil abzugeben. Ein Testat hingegen kann ein deutlich engeres Mandat sein, bei dem die Gesellschaft ein geringeres Maß an Sicherheit äußert, oft zu einem einzigen Stichtag und mit einem begrenzten Satz von Verfahren.

Den Unterschied zu verstehen ist wichtig, weil Stablecoins kumuliert Billionen Dollar an Nutzergeldern halten und bereits gescheitert sind. Der Kollaps von TerraUSD im Jahr 2022 zeigte, dass algorithmische Behauptungen über Deckung wertlos waren, sobald das Vertrauen brach. Die BUSD-Episode des von Paxos emittierten Tokens zeigte ein anderes Problem: einen Emittenten, dessen Reserven testiert statt geprüft wurden und dessen Testatsregime stillschweigend endete, als die Regulierer eingriffen. Wenn du Stablecoins hältst, vertraust du der eigenen Solvenzbehauptung des Emittenten. Das Maß an unabhängiger Überprüfung hinter dieser Behauptung ist der Unterschied zwischen Vertrauen und Verifikation.

Die eigentlichen Risiken, ein Testat mit einer Prüfung zu verwechseln

Das erste Risiko ist das falsche Sicherheitsgefühl. Wenn Circle einen Bericht veröffentlicht und die Presse ihn als Audit bezeichnet, geht ein Leser vernünftigerweise davon aus, dass eine Wirtschaftsprüfungsgesellschaft jede Transaktion durchgegangen ist, jede Kontrolle geprüft hat und zu dem Schluss gekommen ist, dass USDC solvent ist. Was die Gesellschaft tatsächlich getan hat, ist in vielen Fällen, zu verifizieren, dass an einem bestimmten Datum die von Circle gemeldeten Vermögenswerte ungefähr den von Circle gemeldeten Verbindlichkeiten entsprachen. Das ist bedeutsam, aber eine deutlich schwächere Aussage.

Das zweite Risiko ist die Stichtagsabhängigkeit. Ein stichtagsbezogener Reservebericht, und das sind die meisten Stablecoin-Testate, sagt nichts darüber aus, was am Tag davor oder danach geschah. Wenn der Emittent am 31. März um 23:59 Uhr Geld aus den Reserven bewegt und am 1. April um 00:01 Uhr zurückbewegt hätte, könnte trotzdem ein Testatsurteil erteilt werden. Das ist keine hypothetische Sorge. Mehrere Stablecoin-Emittenten wurden dafür kritisiert, ihre Berichtszeiträume so zu wählen, dass sie mit günstigen Salden zusammenfallen.

Das dritte Risiko ist das Problem, dass der Emittent die Kanzlei bezahlt. Die Wirtschaftsprüfungsgesellschaft, die das Urteil unterzeichnet, wird vom Stablecoin-Emittenten bezahlt. Das gilt auch für Prüfungen börsennotierter Unternehmen, aber in der Welt der Publikumsgesellschaften wählt ein Prüfungsausschuss unabhängiger Direktoren die Kanzlei aus, und der Prüfer haftet empfindlich, wenn er einen wesentlichen Fehler übersieht. Bei Stablecoin-Testaten ist das Mandat oft enger, die Haftung ist oft vertraglich begrenzt, und der Anreiz der Kanzlei, bei einem großen Mandanten Druck zu machen, kann real sein.

Das vierte Risiko ist der Präzedenzfall eines Kollapses. BUSD war über den größten Teil seiner Lebensdauer testiert statt geprüft. Als die New Yorker Regulierer Paxos zwangen, die Prägung von BUSD einzustellen, endete das Testatsregime einfach, und die Inhaber fragten sich, wie die Reserven zum Zeitpunkt der Abwicklung aussahen. Die Lehre war nicht, dass BUSD ein Betrug war. Die Lehre war, dass Testatsregime über Nacht ohne Vorwarnung verschwinden können, während Prüfungsurteile rechtliche Wirkung und Kontinuität haben.

Was eine Prüfungsbestätigung im Klartext tatsächlich ist

Eine Prüfungsbestätigung (Attestation) ist ein Dienst, den ein unabhängiger, vereidigter Wirtschaftsprüfer nach den Berufsstandards des AICPA, dem American Institute of Certified Public Accountants, erbringt. Die einschlägigen Standards stehen in den AT-C-Abschnitten der AICPA-Kodifizierung. Diese Abschnitte decken mehrere Varianten von Bestätigungsleistungen ab, die sich darin unterscheiden, wie viel Arbeit der Prüfer leistet und wie viel Sicherheit die Prüfungsaussage ausdrückt.

Die häufigste Stufe ist eine Prüfung mit begrenzter Sicherheit, manchmal auch Bestätigung auf Review-Niveau genannt. Der Prüfer führt Befragungen und analytische Prüfungshandlungen durch, prüft, ob die Zahlen mit den Quelldokumenten übereinstimmen, und gibt eine Prüfungsaussage ab, in der er erklärt, ob ihm Sachverhalte aufgefallen sind, die darauf hindeuten, dass die Zahlen wesentlich falsch sind. Die Formulierung ist bewusst vorsichtig: „uns sind keine Sachverhalte aufgefallen“ und nicht „diese Zahlen sind korrekt“.

Es gibt auch eine Bestätigung mit hinreichender Sicherheit, die in der Prüfungstiefe näher an einer Abschlussprüfung liegt, aber dennoch keine vollständige Prüfung der Finanzberichterstattung darstellt. Der Prüfer erhebt mehr Nachweise, führt umfangreichere aussagebezogene Prüfungshandlungen durch und gibt eine positive Zusicherung ab: seiner Meinung nach sind die Zahlen sachgerecht dargestellt. Viele von kleineren Kanzleien erstellte Berichte zu Stablecoin-Reserven fallen in diese Kategorie. Sie sind stärker als Berichte auf Review-Niveau, aber dennoch enger begrenzt als eine vollständige Abschlussprüfung.

Der entscheidende Punkt ist, dass eine Bestätigungsleistung durch den Auftrag und den Standard definiert wird, nicht durch das Wort auf dem Titelblatt. Wenn ein Wirtschaftsprüfer einen Bericht unterzeichnet und erklärt, es handele sich um eine Bestätigung nach AT-C Abschnitt 205 oder 210, dann ist es genau das, unabhängig davon, wie der Emittent den Bericht vermarktet. Wenn der Bericht vorgibt, eine Abschlussprüfung zu sein, aber nicht den Prüfungsstandards der AU-C-Abschnitte des AICPA folgt, dann ist es keine Abschlussprüfung, egal was die Überschrift sagt.

Was eine Abschlussprüfung im Klartext tatsächlich ist

Eine Abschlussprüfung unterliegt einem anderen Standardwerk, ebenfalls vom AICPA verfasst, aber in den AU-C-Abschnitten statt in den AT-C-Abschnitten. Dies sind die Standards, nach denen in den Vereinigten Staaten öffentliche Unternehmen geprüft werden, und sie verlangen eine deutlich tiefere Prüfungstiefe als jede Bestätigungsleistung.

Konkret verlangt eine Abschlussprüfung, dass der Prüfer ein Verständnis der internen Kontrollen der Einheit erlangt, das Risiko wesentlicher Falschangaben einschätzt, die Prüfungshandlungen als Reaktion auf dieses Risiko ausgestaltet, aussagebezogene Prüfungen auf Stichprobenbasis durchführt, die Fortführungsfähigkeit beurteilt und eine förmliche Prüfungsaussage dazu abgibt, ob der Jahresabschluss in Übereinstimmung mit dem einschlägigen Rechnungslegungsrahmen sachgerecht dargestellt ist. Die Prüfungsaussage bezieht sich auf den Abschluss als Ganzes, nicht nur auf einen einzelnen Stichtag oder eine einzelne Zahl.

Für Stablecoins würde eine vollständige Abschlussprüfung bedeuten, dass die Kanzlei geprüft hat, ob die Reserven am Stichtag des Berichts tatsächlich existierten, ob sie vom Emittenten ordnungsgemäß verwahrt wurden, ob die Verbindlichkeiten mit dem übereinstimmen, was ausgegeben und zurückgegeben wurde, und ob die Kontrollen rund um das Minten und Burnen funktionieren. Die Kanzlei bestätigt außerdem, dass die Vermögenswerte das sind, was der Emittent angibt, was bei Stablecoins wichtig ist, die Commercial Paper, Treasury Bills, Einlagenzertifikate und andere Instrumente halten, die sich in Liquidität und Bonität unterscheiden.

Nur eine kleine Zahl von Stablecoin-Emittenten hat jemals eine vollständige Abschlussprüfung mit hinreichender Sicherheit erhalten. Circle, der Emittent von USDC, hat in der Vergangenheit Bestätigungsleistungen statt vollständiger Abschlussprüfungen eingeholt, obwohl es die Strenge seiner Berichterstattung im Laufe der Zeit erhöht hat. Tether, der Emittent von USDT, hat durchgehend Bestätigungsleistungen veröffentlicht und eine vollständige Abschlussprüfung ausdrücklich abgelehnt, mit Verweis auf Kosten und Komplexität. TUSD und BUSD haben in der Vergangenheit Bestätigungsleistungen von kleineren Kanzleien veröffentlicht. Das Muster ist eindeutig: Bestätigungsleistungen dominieren, Abschlussprüfungen sind selten.

Warum Big-4-Abschlussprüfungen nicht gleich „vollständig gedeckt“ bedeuten

Es gibt eine zweite Schicht der Verwirrung, die daher rührt, dass die Big-4-Prüfungsgesellschaften (Deloitte, PwC, EY und KPMG) häufig beteiligt sind. Wenn eine Big-4-Gesellschaft einen Stablecoin-Bericht unterzeichnet, gehen Leser oft davon aus, dass die höchste Prüfungsstufe angewandt wurde. Das ist in der Regel nicht der Fall, denn das Big-4-Mandat ist selbst meist eine Bestätigungsleistung und keine Abschlussprüfung.

Eine Big-4-Bestätigung ist in mehrerlei Hinsicht dennoch besser als eine Bestätigung durch eine kleine Kanzlei. Die Gesellschaft verfügt über mehr Ressourcen, mehr spezialisierte Expertise bei Finanzinstrumenten und einen stärkeren beruflichen Ruf, der auf dem Spiel steht. Es ist für einen Emittenten auch schwieriger, leise die Kanzlei zu wechseln, wenn ihm die Antworten nicht gefallen, weil es weniger Big-4-Gesellschaften gibt und die Beziehung sichtbarer ist. Aber der zugrunde liegende Standard, wenn es AT-C statt AU-C ist, bleibt der Bestätigungsstandard, und die Prüfungsaussage sagt genau das, was der Bestätigungsstandard vorgibt.

Deshalb ist die Unterscheidung Big-4 versus kleine Kanzlei wichtig, aber nicht entscheidend. Eine Big-4-Bestätigung ist stärker als eine Bestätigung durch eine kleine Kanzlei. Eine Big-4-Abschlussprüfung mit hinreichender Sicherheit ist stärker als eine Big-4-Bestätigung. Und kein Bericht irgendeiner Art beweist, dass der Emittent an jedem Tag des Jahres solvent war, sondern nur, dass die Nachweise, die die Kanzlei geprüft hat, die am Stichtag abgegebene Prüfungsaussage stützen.

Für einen Stablecoin-Inhaber lautet die praktische Erkenntnis, den tatsächlichen Prüfungsaussage-Text jedes Reserveberichts zu lesen, nicht nur die Überschrift. Achten Sie auf den zugrunde liegenden Standard (AT-C Abschnitt 205, 210, 305 oder die AU-C-Abschnitte insgesamt), das Sicherheitsniveau (begrenzt oder hinreichend), den abgedeckten Stichtag oder Zeitraum und den konkreten Gegenstand der Prüfungsaussage. Wenn diese vier Punkte nicht das ergeben, was die Vermarktung verspricht, übertreibt die Vermarktung.

Der BUSD-Präzedenzfall: Wie ein unreguliertes Bestätigungsregime aussieht

BUSD ist der sauberste Fall, der zeigt, warum Bestätigungsregime nicht gleichwertig mit Abschlussprüfungen sind. BUSD wurde von Paxos Trust Company, einer in New York regulierten Treuhandgesellschaft, ausgegeben, und die Reserven wurden über den größten Teil seines Bestehens von einer kleineren Prüfungsgesellschaft bestätigt. Die Berichte waren so bezeichnet, dass sie auf eine gründliche unabhängige Prüfung hindeuteten, und sie wurden im Allgemeinen auch so verstanden.

Als das New York Department of Financial Services im Februar 2023 Paxos anwies, das Minten von BUSD einzustellen, bot das Bestätigungsregime keine geordnete Abwicklung. Inhaber hatten keine geprüften Abschlüsse, auf die sie sich berufen konnten, keine Fortführungsprüfungsaussage und keine förmliche Zusicherung, dass die Reserven zum Zeitpunkt der Abwicklung den ausstehenden Verbindlichkeiten entsprachen. Paxos honorierte Rückgaben und der Stablecoin wurde ohne Verluste für die Inhaber abgewickelt, aber dieses Ergebnis beruhte auf dem Eingreifen der Aufsichtsbehörde und der eigenen operativen Leistungsfähigkeit von Paxos, nicht auf dem Bestätigungsregime selbst.

Die Lehre aus BUSD lautet, dass ein Bestätigungsregime nur so stark ist wie der regulatorische Rahmen um es herum. Wenn eine Aufsichtsbehörde eingreift, wird eine Bestätigung wertlos, weil der Emittent nicht mehr so operieren kann, wie es die Bestätigung vorausgesetzt hat. Eine Abschlussprüfung erzeugt hingegen eine historische Dokumentation mit rechtlichem Gewicht, und die Abschlüsse bleiben auch dann nützlich, wenn sich das Geschäft des Emittenten über Nacht verändert.

Deshalb lohnt es sich auch, die Position von Tether zu verstehen. Tether hat über Jahre hinweg eine vollständige Abschlussprüfung abgelehnt und stattdessen Bestätigungsleistungen von kleineren Kanzleien veröffentlicht, zuletzt von BDO. Die Entscheidung war bewusst und wurde von Tether mit Kosten, Komplexität und der Tatsache begründet, dass die Reserven von Tether Instrumente enthalten, die sich auf dem Niveau hinreichender Sicherheit schwerer prüfen lassen. Unabhängig davon, ob diese Erklärung überzeugt, ist die praktische Folge, dass USDT-Inhaber sich schon immer auf eine schwächere Form der Verifizierung verlassen haben als USDC-Inhaber, unabhängig davon, wie die Berichte in den Schlagzeilen beschrieben werden.

So liest man einen Stablecoin-Reservebericht, ohne sich täuschen zu lassen

Die mit Abstand nützlichste Angewohnheit ist es, den eigentlichen Bestätigungsabsatz zu finden. Er steht meist gegen Ende des Berichts in einem Abschnitt mit einem Titel wie Bericht unabhängiger Wirtschaftsprüfer oder Bestätigungsvermerk. Im Bestätigungsvermerk steht, was geprüft wurde, welcher Standard angewandt wurde und welche Stufe der Prüfungssicherheit ausgedrückt wird. Wenn der Bericht diesen Absatz nicht enthält oder ihn versteckt, ist das bereits ein Signal.

Achten Sie als Nächstes auf das Datum. Ein Bericht mit Datum 31. März bezieht sich auf die Reserven zum 31. März, nicht zu einem anderen Datum. Wenn der Emittent behauptet, dauerhaft vollständig gedeckt zu sein, stützt der Bericht diese Behauptung nicht. Er belegt eine Momentaufnahme.

Prüfen Sie dann, woraus die Reserven tatsächlich bestehen. US-Staatsanleihen sind etwas anderes als Commercial Paper, was wiederum etwas anderes ist als Einlagenzertifikate, was etwas anderes ist als Bitcoin, was etwas anderes ist als Forderungen. Ein Bericht, der sagt, die Reserven belaufen sich auf X Milliarden Dollar, ist weniger aussagekräftig als einer, der die Zusammensetzung nach Anlageklasse, Laufzeit und Bonität aufschlüsselt. Bestätigungen enthalten diese Aufschlüsselung häufig, doch der Detaillierungsgrad variiert stark.

Prüfen Sie abschließend, wer den Bericht unterzeichnet hat. Eine Big-4-Gesellschaft ist nicht dasselbe wie eine kleine Kanzlei, und eine lange Mandatsbeziehung mit derselben Gesellschaft ist nicht dasselbe wie ein neu vergebenes Mandat. Stablecoin-Emittenten, die stabile, langjährige Beziehungen zu ihren Wirtschaftsprüfern pflegen, legen tendenziell konsistentere Berichte vor als solche, die häufig die Prüfungsgesellschaft wechseln. Das ist ein weiches Signal, aber es lohnt sich, es zu berücksichtigen.

Was man mit diesen Informationen tatsächlich anfängt

Wenn Sie Stablecoins halten, lautet die praktische Konsequenz, dass Sie keinen Stablecoin als geprüft annehmen sollten, solange Sie dies nicht persönlich verifiziert haben. Die Standardannahme sollte sein, dass der Reservebericht des Emittenten eine Bestätigung ist, dass er sich auf ein einziges Datum bezieht und dass die unterzeichnende Kanzlei vom Emittenten bezahlt wird. Keine dieser Tatsachen macht den Stablecoin unsicher, aber sie sollten Ihre Erwartungen kalibrieren.

Bei größeren Beständen fällt der Unterschied stärker ins Gewicht. Ein paar Hundert Dollar in USDC haben ein anderes Risikoprofil als ein paar Hunderttausend Dollar in einem einzigen Stablecoin, denn die Folgen eines plötzlichen Endes des Bestätigungsregimes skalieren mit der Größe der Position. Eine Streuung über mehr als einen Emittenten ist die einfachste Absicherung gegen das Scheitern eines einzelnen Bestätigungsregimes.

Nichts davon ist eine Finanzberatung, und nichts davon ändert die grundlegende Wahrheit, dass Stablecoins Risiken bergen, die kein Bericht vollständig beseitigen kann. Die Berichte sind nützlich und deutlich besser als nichts, aber sie sind kein regulatorisch abgesichertes Bankguthaben und sollten auch nicht so behandelt werden.

Bleiben Sie über Änderungen bei Stablecoin-Berichten auf dem Laufenden

Die Reserveberichterstattung von Stablecoins entwickelt sich weiter, da neue Regulierungen in den USA, in Europa und anderswo die Emittenten zu strengeren Standards drängen. Die Berichte, die Emittenten veröffentlichen, werden sich in den kommenden Jahren in Form und Inhalt verändern, und die Namen der unterzeichnenden Kanzleien werden wechseln. Diese Veränderungen manuell zu verfolgen ist für die meisten Nutzer unpraktisch. Zippfeed zeigt Stablecoin-Schlagzeilen mit Stimmungsbewertung und einer Wichtigkeitsstufe an, damit Sie erkennen, welche Reserveberichte tatsächlich relevant sind und welche Routine sind.