Was ist BitVM und wie bringt es Smart Contracts auf Bitcoin?

BitVM ist ein Computing-Design, mit dem sich beliebige Programme auf Bitcoin verifizieren lassen, ohne die Konsensregeln von Bitcoin zu ändern. Die Berechnung läuft off-chain zwischen zwei Parteien ab, und Bitcoin sieht nur dann ein kurzes Challenge-Response-Verfahren, wenn eine Seite falsche Angaben macht. Robin Linus veröffentlichte das ursprüngliche Paper am 9. Oktober 2023; seither bildet es die Grundlage vieler trust-minimierter Bitcoin-Bridge-Designs.

Die Idee ist elegant, die Praxisbilanz jedoch uneinheitlich. Die größte Produktivimplementierung einer BitVM-Bridge, entwickelt von Bitlayer, wurde am 3. Juni 2026 eingestellt – rund elf Monate nach dem Start. Um zu verstehen, warum das geschah, muss man zunächst den Mechanismus verstehen, denn der Grund war eher ökonomischer als kryptografischer Natur.

BitVM im Überblick

Die vorletzte Zeile ist die wichtigste. Jeder Artikel, der BitVM als Investment behandelt, beschreibt eigentlich etwas anderes – meist einen Token, den eines der implementierenden Teams herausgegeben hat.

Was ist BitVM?

Bitcoins Skriptsprache wurde bewusst klein gehalten und ist es geblieben. Sie hat keine Schleifen, keinen persistenten Vertragszustand und nur einen eingeschränkten Opcode-Satz. Deshalb gab es im Netzwerk nie etwas, das einer Virtual Machine wie bei Ethereum ähnelt. Eine solche hinzuzufügen würde eine Konsensänderung erfordern – und Konsensänderungen bei Bitcoin dauern, wenn sie überhaupt stattfinden, oft Jahre.

BitVM umgeht dieses Problem, indem das Programm nicht auf Bitcoin ausgeführt wird.

Zwei Parteien einigen sich im Voraus auf ein Programm und signieren vorab einen Baum aus Bitcoin-Transaktionen, der jeden seiner Schritte codiert. Eine Partei – der Prover – behauptet anschließend etwas über den Output des Programms und hinterlegt eine Sicherheit. Ist die Behauptung korrekt, passiert nichts weiter und die Chain sieht die Berechnung überhaupt nicht. Ist sie falsch, kann die andere Partei Bitcoin bis zu dem exakten Schritt führen, an dem die Arithmetik bricht, die Abweichung in einer gewöhnlichen Transaktion nachweisen und die Sicherheit einziehen.

Das Design von 2023 codierte das Programm als Logikgatter-Schaltung, die in einen Merkle-Baum committed wird. Beide Seiten grenzen einen Streitfall über mehrere Runden ein, bis nur noch ein einzelnes Gatter übrig bleibt, das günstig genug ist, damit Bitcoin es auswerten kann. Das ursprüngliche BitVM-Paper beschreibt das Modell als Verifikation von Berechnungen statt als deren Ausführung – derselbe Grundgedanke wie bei Optimistic Rollups, angewandt auf eine Chain, die nie dafür ausgelegt war.

Man kann es eher als Prüfungsklausel denn als Buchhaltungssystem verstehen. Bitcoin übernimmt nicht die Buchführung. Es legt vorab fest, wie ein nachgewiesener Fehler aussieht, und zahlt aus, wenn jemand einen solchen Fehler vorlegt.

Warum braucht Bitcoin das?

Auf einer Chain, die es nativ nicht erlaubt, Werte zu verleihen, als Sicherheit zu hinterlegen oder in ein Protokoll zu routen, liegt ein Vermögen von grob einer Billion US-Dollar. Historisch endeten fast alle Versuche, das zu ändern, beim selben Modell: ein Wrapped Token, gedeckt durch einen Custodian oder eine benannte Föderation. Dieses Modell funktioniert – bis die Mitglieder kolludieren oder dazu gezwungen werden; dann ist der Ausfall potenziell vollständig.

Bridges sind außerdem der Bereich, in dem Gelder tatsächlich verloren gehen. Unsere Analyse zu DeFi-Bridge-Exploits im Jahr 2026 zeigt das typische Muster: Der gemeinsame Nenner ist fast nie ein gebrochener kryptografischer Primitive, sondern meist ein kleiner Schlüsselsatz, der sich faktisch als ein einziger Schlüsselsatz erwiesen hat.

BitVMs Kernaussage lautet, dass ein Bitcoin-Halter nicht der Mehrheit irgendeiner Gruppe vertrauen sollte. Wenn ein einzelner Teilnehmer aus einer Gruppe genügt, um das System korrekt zu halten, kann die Gruppe in Summe adversarial sein und der Peg dennoch halten. Das ist eine andere Aussage als bei Ethereum-Layer-2-Lösungen, denn Ethereum kann Proofs direkt in seiner eigenen Ausführungsumgebung verifizieren – Bitcoin kann das nicht.

Wie funktioniert BitVM konkret?

Das vollständige Protokoll geht tiefer, doch seine Grundstruktur lässt sich auf fünf Schritte reduzieren.

1. Die Setup-Zeremonie signiert alles vorab

Bevor irgendein BTC bewegt wird, unterzeichnet eine Teilnehmergruppe gemeinsam einen Graphen aus Bitcoin-Transaktionen, der jeden möglichen Pfad eines Streitfalls abdeckt. Das Ergebnis ist eine Adresse, die keine Teilmenge der Beteiligten beliebig ausgeben kann, weil nur die vorab signierten Ausgabepfade existieren. Bitlayers eigener Designbeitrag zur BitVM Bridge beschreibt die Kerneigenschaft klar: Sobald mindestens ein Komiteemitglied seinen Private Key löscht, wird die Rekonstruktion der Fähigkeit, diese Gelder zu bewegen, für alle anderen rechnerisch unpraktikabel.

2. Der Nutzer zahlt ein und erhält einen gebundenen Vermögenswert

BTC fließt in die vorab signierte Adresse, und auf der Ziel-Chain wird eine 1:1-Repräsentation geprägt. Bitlayer nannte seine Version YBTC, Citrea nennt ihre cBTC. Die Namen unterscheiden sich, die Bilanzlogik nicht: Jede umlaufende Einheit soll einem gesperrten Coin entsprechen, auf den die Betreiber nicht zugreifen können.

3. Auszahlungen werden von einem Operator vorfinanziert

Wenn ein Nutzer den gebundenen Vermögenswert zum Ausstieg verbrennt, wartet er nicht darauf, dass sich der Bitcoin-Vertrag vollständig abwickelt. Ein gewinnorientierter Operator – in Bitlayers Design „Broker“ genannt – sendet dem Nutzer BTC sofort aus dem eigenen Bestand und reicht anschließend einen Anspruch ein, sich aus den gesperrten Mitteln zu erstatten. Der Vorgang wirkt schnell, weil jemand anderes das Timing-Risiko trägt.

4. Der Anspruch liegt in einem Challenge Window

Der Erstattungsanspruch eines Operators ist optimistisch, also solange als korrekt angenommen, bis er angefochten wird. Bitlayer setzte sein Streitfenster auf ungefähr eine Woche. Citreas Clementine-Bridge, die die BitVM2-Konstruktion nutzt, liegt bei rund zwei Wochen. In diesem Zeitraum passiert nichts – es sei denn, ein Watcher hält etwas für falsch.

5. Ein Challenger widerlegt den Anspruch on-chain

Wenn ein Operator eine Erstattung beansprucht, auf die er keinen Anspruch hat, kann jede beobachtende Partei den Streit auf Bitcoin erzwingen. Die Revision von 2024 machte das praxistauglich. Wie das BitVM2-Paper darlegt, wurden Challenges permissionless: Jeder Nutzer mit Full Node kann sie auslösen, nicht nur ein festes Komitee. Zudem kann ein fehlerhafter Operator innerhalb von drei On-chain-Transaktionen widerlegt werden, statt in einem langen interaktiven Hin und Her. Der Operator verliert seine Sicherheit, und das korrekte Ergebnis wird wiederhergestellt.

Wichtig ist: Die Schritte drei bis fünf bilden das gesamte Sicherheitsmodell. Es gibt kein On-chain-Orakel, keine Abstimmung und keine Berufung. Jemand muss überwachen, und jemand muss bereit sein, Bitcoin-Gebühren zu zahlen, um die falsche Behauptung eines Dritten zu widerlegen.

BitVM vs. eine föderierte Sidechain

Föderierte Sidechains lösten dasselbe Problem schon ein Jahrzehnt früher, indem sie die Custodians benannten und Nutzer baten, der Gruppe zu vertrauen. Ein direkter Vergleich zeigt am schnellsten, was BitVM bringt – und was es kostet.

Keine der beiden Spalten ist kostenlos. Eine Föderation bietet Geschwindigkeit und einen Ansprechpartner. BitVM bietet eine Sicherheitsannahme, die selbst dann tragen soll, wenn alle Beteiligten im Raum unehrlich sind – zum Preis eines Challenge Windows plus realer Gebührenkosten.

Welche Trust-Annahmen gibt es?

BitVM wird eher als trust-minimiert denn als trustless beschrieben – und diese Unterscheidung ist wesentlich. Vier getrennte Annahmen müssen gleichzeitig gelten, damit die Garantie überhaupt belastbar ist.

1. Die 1-of-n-Annahme muss gelten

Das ist die zentrale Behauptung, und sie ist tatsächlich schwächer als das, was eine Föderation verlangt. Bitlayers Dokumentation sagt, dass der Vertrag nur einen korrekt handelnden Teilnehmer benötigt, und Citreas Mainnet-Ankündigung erhebt dieselbe Aussage für Clementine: Solange eine Partei korrekt handelt, kann betrügerische Bridge-Aktivität auf Bitcoin-Mainnet angefochten werden. Wenn alle Teilnehmer unehrlich und koordiniert sind, scheitert diese Annahme unmittelbar.

2. Jemand muss tatsächlich einen Schlüssel gelöscht haben

Die Sicherheit der Setup-Zeremonie beruht darauf, dass Teilnehmer ihr Schlüsselmateriel danach vernichten. Beweisen lässt sich das nicht. Das ist dieselbe strukturelle Schwäche wie bei jedem Trusted Setup in der Kryptografie – und der Grund, warum Identität und Reputation der Teilnehmer selbst in einem Design relevant bleiben, das damit wirbt, ihnen nicht vertrauen zu müssen.

3. Jemand muss das Challenge Window überwachen

Ein nicht angefochtener betrügerischer Anspruch setzt sich durch. Das Protokoll setzt also voraus, dass ein Watcher existiert, online ist, einen synchronisierten Zustand hat und rechtzeitig aufmerksam wird. Diese Annahme ist am günstigsten zu erfüllen, wenn eine Bridge aktiv und wertvoll ist, und am wenigsten verlässlich, wenn sie ruhig ist – also genau umgekehrt zu dem, was man eigentlich wollen würde.

4. Der Challenger muss sich die Challenge leisten können

Streitfälle spielen sich im Bitcoin-Blockspace ab – und der ist nicht kostenlos. Das BitVM3-Paper beziffert die Worst-Case-Kosten eines Streitfalls unter BitVM2 auf grob 16.000 US-Dollar. Das heißt: Ein Challenger braucht sofort verfügbares Kapital und einen hinreichenden Anreiz, um diese Summe zu rechtfertigen. Unterhalb einer gewissen Schwelle ist es rational, den Betrug durchgehen zu lassen – und das Sicherheitsmodell verliert stillschweigend seine Bindungswirkung.

Wo wird BitVM tatsächlich eingesetzt?

Bitlayer lieferte die erste funktionale Implementierung und startete im Juli 2025 die Mainnet-Beta seiner BitVM Bridge zusammen mit YBTC. Diese Bereitstellung ist nicht mehr verfügbar; Token, Abschaltungszeitplan und Kennzahlen dazu werden im begleitenden Artikel zu Bitlayer behandelt.

Das Live-Beispiel mit Stand Mittwoch, 26. August 2026, ist Citrea – der Bitcoin-ZK-Rollup, dessen Mainnet am 27. Januar 2026 live ging und der Clementine als Produktions-Bridge nutzt. Clementine teilt die Aufgaben auf Signer, die Einzahlungen über ein N-of-N-Multisig abwickeln, Operatoren, die Auszahlungen vorfinanzieren, und Watchtowers, die dafür incentiviert sind, betrügende Operatoren zu widerlegen. Citrea legt die Identitäten seiner Bridge-Signer öffentlich offen – eine nachvollziehbare Anerkennung dessen, dass auch eine 1-of-n-Annahme davon profitiert zu wissen, wer die n sind.

Andere Teams wie BOB und GOAT Network haben BitVM-basierte Bridge-Arbeiten im Testnet-Stadium veröffentlicht. Testnet bleibt Testnet, und der Abstand zwischen einem funktionierenden Testnet und einer Bridge, die reales BTC durch eine angefochtene Auszahlung hält, ist genau das Thema dieses Artikels. Leser, die Bitcoin-Skalierungsansätze vergleichen, könnten unsere Einordnung zu Stacks, Citrea und Bitcoin Hyper nützlich finden; außerdem ist Bridging nicht der einzige Weg, BTC nutzbar zu machen, denn Staking-Protokolle wie Babylon verfolgen das Problem aus einer ganz anderen Richtung.

Risiken und offene Probleme

1. Streitkosten sind hoch genug, um Verhalten zu verändern

Ein Sicherheitsmodell, das nur funktioniert, wenn jemand einen fünfstelligen Betrag zu seiner Verteidigung ausgibt, hat eine Untergrenze, unterhalb derer es nicht funktioniert. BitVM3, veröffentlicht im Mai 2026, soll genau dieses Problem angehen: Die Berechnung wird in Garbled Circuits off-chain verlagert, und die gesamten On-chain-Kosten sinken laut Paper selbst auf etwa 9 US-Dollar. Das wäre eine Verbesserung um fast den Faktor 1.000 – ist aber zunächst eine neue Spezifikation und noch kein breit eingesetztes System.

2. Das Design hängt von Operatoren ab, die Liquidität vorfinanzieren

Schnelle Auszahlungen erfordern, dass jemand eigenes BTC vorstreckt und dann wochenlang auf die Rückerstattung wartet. Das ist ein kapitalintensives Geschäft mit niedrigen Margen. Wenn Operatoren entscheiden, dass sich die Rendite nicht lohnt, erhalten Nutzer den langsamen Pfad – oder gar keinen. Das ist Marktrisiko in technischem Gewand.

3. Auszahlungen sind konstruktionsbedingt langsam

Ein Challenge Window von ein bis zwei Wochen ist kein Bug, der sich einfach wegoptimieren ließe. Es ist der Zeitraum, in dem Betrug entdeckt werden kann; verkürzt man ihn, schwächt man die Garantie direkt. Wer eine BitVM-Bridge als Trading-Infrastruktur statt als Verwahrungsschicht betrachtet, liest ihren Zweck falsch.

4. Der gebundene Vermögenswert bleibt ein Bridge-Asset

YBTC, cBTC und alle Äquivalente sind Ansprüche auf gesperrte Coins, nicht die Coins selbst. Sie tragen Contract Risk auf der Ziel-Chain, Liquiditätsrisiko in den Pools, in denen sie gehandelt werden, sowie Depeg-Risiko, falls das Vertrauen in den Rücknahmeweg bricht. Der BitVM-Teil schützt die Sperre – und nichts, was danach kommt.

5. Marketingseiten überleben Produkte

Ein Blick auf bitlayer.org am Mittwoch, 26. August 2026, zeigt auf der Startseite weiterhin YBTC und die BitVM Bridge als verfügbare Produkte mit Einzahlungs- und TVL-Zahlen, während ein Bloghinweis des Unternehmens vom 27. Mai 2026 die Einstellung des Dienstes ankündigt. Beide Seiten liegen auf derselben Domain. Behandeln Sie die Landingpage eines Projekts als Werbung und den Ankündigungsfeed als maßgebliches Protokoll.

6. Die Spezifikation verändert sich schneller als Implementierungen reifen

Drei Versionen in weniger als drei Jahren, die jeweils die Streitmechanik substanziell ändern, bedeuten, dass alles, was auf der ersten Version aufgebaut wurde, strukturell veraltet war, bevor es ausgereift war. Das ist für frühe Forschung normal – und für jeden unpraktisch, der dort BTC geparkt hat.

Ist BitVM bereit für echtes Kapital?

Der Mechanismus selbst funktioniert im Wesentlichen wie beschrieben – und das ist nicht die offene Frage. Er wurde mehrfach implementiert, hat einen Peg im Mainnet gehalten, und Citrea betreibt ihn seit Januar 2026 produktiv. Nichts im öffentlichen Datensatz deutet darauf hin, dass ein BitVM-Vertrag von einem Angreifer gebrochen wurde; die Einstellung, die diesen Artikel ausgelöst hat, war kein Hack.

Offen ist die Ökonomie. Bitlayers Hinweis zur Einstellung deaktivierte Bridge-in am 28. Mai 2026, gab Inhabern bis zum 3. Juni 2026 Zeit für Bridge-out und erklärt, dass der Security Council die verbleibenden Mittel direkt abziehen und ausstehende YBTC auf Ethereum gegen die zugrunde liegenden BTC-Reserven verbrennen werde. Der Hinweis beschreibt die Schließung als architektonische Überarbeitung, nennt kein Nachfolgeprodukt und kein Datum für eine Wiederaufnahme. Liest man das neben dem BitVM3-Paper, das zwei Wochen zuvor veröffentlicht wurde und argumentiert, dass die Streitkosten und Bonding-Anforderungen von BitVM2 selbst die Teilnahmehürde waren, ergibt sich ein stimmiges Bild: Die erste Generation war im Betrieb teuer, hatte wenig Volumen und wurde durch ein günstigeres Design überholt, bevor sie je skaliert hatte.

Die Antwort hängt also davon ab, welche Frage man stellt. Als Design zur Lösung eines realen Problems ist BitVM die bisher glaubwürdigste Methode, Bitcoin in Vertragslogik einzubringen, ohne den Konsens anzutasten. Als Ort, um im August 2026 größere Beträge zu parken, bleibt es jedoch ein junges Produktionssystem mit nur einer Live-Implementierung, einem eingestellten Flaggschiff und einer Spezifikation, die sich während laufender Implementierungen bereits zweimal verändert hat.

Abschließende Gedanken

Achten Sie eher auf die Zahl der Operatoren und die Challenge-Aktivität als auf den TVL. Eine BitVM-Bridge mit hoher Einlage und ohne aktive Watchtowers ist weniger sicher als eine kleinere Bridge, bei der mehrere Parteien wirtschaftlich motiviert sind, einen Betrugsversuch aufzudecken. Denn die 1-of-n-Annahme ist eine Aussage darüber, wer aufmerksam ist – nicht darüber, wie viel gesperrt ist.

Der nächste echte Meilenstein wäre eine BitVM3-Bridge, die produktiv eine relevante Menge BTC hält. Denn der Fall für das Design würde deutlich stärker, wenn ein Streitfall nur einstellige Dollarbeträge statt fünfstelliger Summen kostet. Bis das geschieht und eine angefochtene Auszahlung übersteht, lautet die faire Einordnung: Bitcoin hat nun eine funktionierende Methode zur Verifikation off-chain ausgeführter Berechnungen – aber noch keinen ausgereiften Markt für die Akteure, die dieses Modell durchsetzen müssen.

Elegante Kryptografie scheitert selten laut. Sie wird eher still für ein architektonisches Upgrade eingestellt, für das nie ein konkreter Zeitplan genannt wird.

Häufig gestellte Fragen

Ist BitVM eine Blockchain oder ein Token?

Weder noch. Es ist eine Spezifikation zur Verifikation von Berechnungen auf Bitcoin, also eher ein Protokollstandard als ein Produkt. Es gibt daher nichts zu kaufen, das BitVM selbst repräsentiert. Tokens, die von Teams herausgegeben werden, die BitVM implementieren, sind ein Exposure auf diese Unternehmen und deren Umsetzung – etwas völlig anderes als die Aussage, dass das Design selbst tragfähig ist.

Benötigt BitVM einen Bitcoin-Soft-Fork?

Nein – und genau das ist der entscheidende Punkt. Es funktioniert innerhalb der Opcodes, die Bitcoin bereits besitzt. Deshalb gelang der Schritt vom Paper zum Mainnet in weniger als zwei Jahren, während Covenant-Vorschläge wie OP_CTV und OP_CAT deutlich länger in der Debatte festhängen. Vorschläge, die Konsensänderungen benötigen, könnten am Ende effizienter sein – aber zuerst müsste sich das Netzwerk darauf einigen.

Was passiert mit meinem BTC, wenn eine BitVM-Bridge geschlossen wird?

Das hängt vollständig davon ab, wie der Betreiber vorgeht – und genau diese Trust-Annahme deckt das Design nicht ab. Bitlayer gab Inhabern ein definiertes Bridge-out-Fenster und erklärte, ausstehende YBTC nach Schließung mit den Reserven abzugleichen. Wer dieses Zeitfenster verpasste, war daher auf einen Off-Ramp angewiesen, der fallweise organisiert wurde und nicht vertraglich garantiert war.

Wie unterscheidet sich BitVM von einer Bitcoin-Sidechain?

Eine Sidechain überführt Ihr BTC in ein System, das durch ein eigenes Validator-Set oder eine Föderation abgesichert wird; die Sicherheit Ihrer Coins hängt dann von dieser Gruppe ab. Eine BitVM-Bridge hält die Coins dagegen auf Bitcoin unter einem Vertrag gesperrt, den nur ein einziger Teilnehmer korrekt durchsetzen muss. Das ist eine materiell schwächere Anforderung an Vertrauen – bezahlt mit langsameren Auszahlungen und teuren Streitfällen.

Dieser Artikel dient nur zu Informationszwecken und stellt keine Finanz- oder Anlageberatung dar. Der Handel mit Kryptowährungen ist mit erheblichen Risiken verbunden. Führen Sie vor Handelsentscheidungen stets Ihre eigene Recherche durch.