Aave bleibt nach Kelp-Hack um 8 Milliarden Dollar unter Wasser
Der Hack traf nicht Aaves Code, sondern die Kelp-Bridge hinter rsETH; laut DefiLlama liegen die Deposits deshalb weiterhin deutlich unter dem Niveau vor dem 18. April.
Wichtigste Erkenntnisse
- Aave liegt fünf Monate nach dem Kelp-Hack weiterhin bei 18,1 Milliarden Dollar an Deposits, 31% unter dem Niveau vor dem Angriff.
- Der Hack traf nicht Aaves Smart Contracts, sondern die Cross-Chain-Bridge von Kelp DAO, wodurch 116.500 rsETH freigegeben wurden.
- Aave schätzte die Bad Debt auf 123,7 Millionen Dollar bis 230,1 Millionen Dollar, während bridged Assets und Cross-Chain-Bridges breitere DeFi-Risiken offenlegen.
Aave liegt fünf Monate nach dem Kelp-Hack weiterhin deutlich unter dem Niveau vor dem Vorfall. Die Deposits beliefen sich auf 18,1 Milliarden Dollar (15,5 Milliarden Euro), also rund 31% weniger als die 26,1 Milliarden Dollar (22,4 Milliarden Euro) vom Tag vor dem Hack, laut DefiLlama. Das Protokoll selbst blieb technisch intakt, doch der Schaden lief über die Sicherheiten, die hinter den Krediten standen.
Was bei Kelp schiefging
Der Angriff vom 18. April richtete sich nicht gegen den Lending-Code von Aave, sondern gegen die Cross-Chain-Bridge von Kelp DAO. Kelp ist ein Liquid-Restaking-Protokoll, und rsETH ist dessen Receipt-Token. Wer rsETH hält, besitzt nicht Ether selbst, sondern einen Anspruch auf gestaktes Ether, und genau dieser Anspruch wurde über die Bridge missbraucht.
Die Angreifer manipulierten die Datenfeeds, denen die Bridge vertraute, und schickten so eine falsche Nachricht durch. Dadurch wurden 116.500 rsETH freigegeben, im Wert von rund 292 Millionen Dollar (251 Millionen Euro), fast 18% des gesamten Angebots. Das Sicherheitsunternehmen Halborn brachte die Lücke mit einem Single-Verifier-Setup und gekaperten Datenknoten in Verbindung. Chainalysis ordnete den Angriff der nordkoreanischen Lazarus Group zu. Es ging also nicht um einen defekten Smart Contract, sondern um unzureichende Sicherheit rund um die Bridge.
Folgen für Aave
Diese unbesicherten Token landeten anschließend in Lending Markets. Die Angreifer zahlten 89.567 rsETH bei Aave ein und liehen sich dagegen rund 193 Millionen Dollar (166 Millionen Euro). Aave setzte rsETH innerhalb einer Stunde in 11 Märkten aus und fror WETH zwei Tage später ein. Das Protokoll teilte selbst mit, dass die Smart Contracts zu keinem Zeitpunkt kompromittiert wurden.
In seinem Incident-Report schätzte Aave die Bad Debt auf 123,7 Millionen Dollar (106 Millionen Euro), wenn Verluste gleich verteilt würden. Wenn nur die bridged rsETH berücksichtigt werden, stieg der Betrag auf 230,1 Millionen Dollar (197 Millionen Euro). Rivalisierende Protokolle und ein Wiederherstellungsplan schlossen später einen großen Teil der Lücke, doch die Depositoren kehrten langsamer zurück, als die Bilanz vermuten ließ.
Warum das breiter relevant ist
Der Fall zeigt, wie anfällig Cross-Chain-Konstruktionen in DeFi bleiben. Im Jahr 2026 haben Hacks auf Cross-Chain-Bridges zusammen bereits mehr als 328 Millionen Dollar (281 Millionen Euro) an Verlusten verursacht, was die Risiken rund um diese Art von Infrastruktur unterstreicht. Für europäische Krypto-Nutzer ist das relevant, weil Receipt-Token und bridged Assets immer häufiger als Sicherheiten in Lending Markets eingesetzt werden.
Auch außerhalb von Aave bleibt diese Frage relevant. Wrapped Bitcoin und ähnliche Token schieben immer eine zusätzliche Ebene zwischen den Kreditnehmer und den zugrunde liegenden Bestand. Wer solche Token als Sicherheit nutzt, sollte also nicht nur auf den Preis schauen, sondern auch auf die Bridge, die Zahl der Unterzeichner und die Frage, ob es sich um einen Anspruch auf einen anderen Anspruch handelt.
