Der $293 Millionen DeFi-Exploit, der eine versteckte Schwachstelle aufdeckte

Am 18. April 2026 sah sich das dezentrale Finanzökosystem (DeFi) einer der bedeutendsten Sicherheitsverletzungen des Jahres gegenüber. In einem hochkoordinierten Angriff wurden Vermögenswerte im Wert von etwa 290–293 Millionen US-Dollar, rund 116.500 rsETH, aus der Bridge-Infrastruktur von KelpDAO abgezogen.

Auf den ersten Blick mag dies früheren DeFi-Exploits ähneln. Doch dieser Vorfall unterscheidet sich aus einem entscheidenden Grund: Er wurde nicht durch einen Fehler in der Smart-Contract-Logik verursacht. Stattdessen deckte er eine tiefere und besorgniserregendere Schwachstelle auf: die Zerbrechlichkeit der Off-Chain-Infrastruktur, auf die viele Protokolle stillschweigend angewiesen sind. Diese Unterscheidung ist wichtig. Denn während Smart Contracts im Laufe der Zeit sicherer geworden sind, werden die sie umgebenden Systeme nun zur primären Angriffsfläche.

Quelle : @Jeremybtc

Was ist KelpDAO?

KelpDAO ist ein Liquid Restaking Protokoll, das hauptsächlich auf Ethereum aufgebaut ist und darauf abzielt, die Kapitaleffizienz für Benutzer zu steigern, die an Staking-Ökosystemen teilnehmen. Durch Integrationen mit Restaking-Frameworks wie EigenLayer ermöglicht KelpDAO Benutzern, ETH erneut zu staken (restaken) und einen liquiden Derivat-Token, rsETH, zu erhalten. Dieser Token kann dann im gesamten DeFi-Bereich für Kreditvergabe, als Sicherheit oder zum Handel eingesetzt werden, wodurch Benutzer Rendite erzielen und gleichzeitig Liquidität wahren können.

Anfang 2026 hatte sich rsETH zu einem bedeutenden Vermögenswert in der Restaking-Landschaft entwickelt und war tief in mehrere DeFi-Protokolle integriert. Ein wesentlicher Teil dieser Expansion basierte auf Cross-Chain-Funktionalität, die durch Infrastrukturen wie LayerZero ermöglicht wurde. Diese Abhängigkeit wurde jedoch zum schwächsten Glied des Protokolls.

Quelle : @kelpDao

Zeitlicher Ablauf des Angriffs

Der Exploit entfaltete sich schnell und verdeutlichte, wie rasant moderne Angriffe eskalieren können. Um 17:35 UTC leiteten die Angreifer die Sequenz ein, indem sie eine gefälschte Cross-Chain-Nachricht übermittelten. Die Nachricht zeigte fälschlicherweise an, dass eine große Menge rsETH auf Unichain, einer L2-Umgebung, die mit Uniswap verbunden ist, verbrannt worden war. Da das System mit einer Einzel-Verifier-Einrichtung konfiguriert war, wurde die Nachricht ohne ausreichende Redundanzprüfungen akzeptiert. Dies löste die Freigabe von etwa 116.500 rsETH aus Ethereum-basierten Treuhandverträgen an von Angreifern kontrollierte Wallets aus.

Innerhalb weniger Minuten waren die Gelder verschwunden. Etwa 46 Minuten später griff die Notfall-Multisig von KelpDAO ein und pausierte das Protokoll. Zwei nachfolgende Versuche, weitere 80.000 rsETH im Wert von rund 200 Millionen US-Dollar abzuziehen, wurden dank dieser Reaktion erfolgreich blockiert. Trotz der teilweisen Eindämmung war der primäre Schaden bereits angerichtet.

Wie der Angriff funktionierte

Was diesen Exploit besonders wichtig macht, ist die Methode. Anstatt einen Fehler im Smart-Contract-Code auszunutzen, zielten die Angreifer auf die Infrastruktur-Ebene ab, die die Cross-Chain-Kommunikation validiert. Der Angriff umfasste mehrere koordinierte Schritte:

1. Zuerst wurden RPC-Knoten, die vom Verifizierer-Netzwerk von LayerZero verwendet wurden, entweder kompromittiert oder manipuliert. Dies verschaffte den Angreifern Kontrolle darüber, wie Verifizierungsdaten interpretiert wurden.
2. Zweitens wurde ein Distributed-Denial-of-Service (DDoS)-Angriff gegen legitime Knoten gestartet. Dies zwang das System, sich auf Fallback-Knoten zu verlassen – von denen einige unter dem Einfluss der Angreifer standen. Mit dieser Kontrolle generierten die Angreifer eine gefälschte Nachricht, die innerhalb des Vertrauensmodells des Systems gültig erschien.
3. Schließlich reichte aufgrund der 1-von-1-Verifizierer-Konfiguration von KelpDAO eine einzige Genehmigung aus, um die Freigabe der Gelder zu autorisieren.

Diese Konfigurationswahl, wahrscheinlich um Latenz und Kosten zu reduzieren, eliminierte Redundanz. Und in Sicherheitssystemen ist ein Mangel an Redundanz oft gleichbedeutend mit einem Single Point of Failure.

Zuschreibung: Die Rolle der Lazarus Group

Sicherheitsfirmen, darunter LayerZero und Chainalysis, haben den Angriff mit hoher Sicherheit der Lazarus Group zugeschrieben, einer staatlich unterstützten Hackergruppe, die mit Nordkorea in Verbindung gebracht wird. Insbesondere wird die Untergruppe namens „TraderTraitor“ als verantwortlich angesehen.

Dies ist kein Einzelfall. Im selben Monat wurde Lazarus auch mit folgenden Vorfällen in Verbindung gebracht:

1. Dem Drift-Protokoll-Exploit, der zu Verlusten von etwa 285 Millionen US-Dollar führte
2. Einem kleineren, aber verwandten Angriff auf Hyperbridge

Auffällig ist das Muster. Dies sind keine opportunistischen Hacks, die einfache Schwachstellen ausnutzen. Es handelt sich um langfristige, gezielte Operationen, die oft monatelange Vorbereitung und mehrere Angriffsvektoren umfassen. Der Fokus hat sich eindeutig auf hochwertige Infrastruktur – Bridges, Restaking-Systeme und Cross-Chain-Protokolle – verlagert.

Unmittelbare Auswirkungen auf das DeFi-Ökosystem

Die Folgen des Angriffs waren unmittelbar und weitreichend. Der rsETH-Token verlor schnell seine Anbindung (Peg), was Instabilität auf Kreditplattformen auslöste. Protokolle wie Aave und andere griffen schnell ein, um rsETH als Sicherheit einzufrieren oder einzuschränken, um weiteres systemisches Risiko zu verhindern. Diese Reaktion, obwohl notwendig, trug zu einem breiteren Liquiditätsschock bei.

Innerhalb weniger Tage wurden über 13 Milliarden US-Dollar an Gesamtwert von DeFi-Plattformen abgezogen – einer der schnellsten Kapitalabflüsse der letzten Jahre. Der Vorfall verdeutlichte eine wichtige Realität: Modernes DeFi ist stark vernetzt. Ein Ausfall einer Komponente – insbesondere einer Bridge – kann sich über mehrere Systeme auswirken und Liquidität, Sicherheitenstabilität und Nutzervertrauen gleichzeitig beeinträchtigen.

Lehren für Protokolle und Nutzer

Der KelpDAO-Exploit bestätigt mehrere wichtige Lehren für die Branche.

1. Erstens ist Redundanz nicht mehr optional. Systeme, die auf einzelnen Verifizierern oder vereinfachten Vertrauensmodellen basieren, sind von Natur aus anfällig. Multi-Verifizierer-Konfigurationen und dezentrale Validierungsmechanismen sollten als grundlegende Anforderungen betrachtet werden.
2. Zweitens muss die Sicherheit über Smart Contracts hinausgehen. Off-Chain-Infrastruktur – RPC-Knoten, Orakel und Verifizierungsschichten – müssen mit der gleichen Sorgfalt behandelt werden wie On-Chain-Code.
3. Drittens sind Reaktionsmechanismen wichtig. Obwohl KelpDAO erhebliche Verluste erlitt, verhinderte sein schneller Pausenmechanismus weiteren Schaden. Dies zeigt den Wert klar definierter Notfallkontrollen.
4. Für Nutzer ist die Lektion ebenso klar. Überengagement in einem einzelnen Vermögenswert oder Protokoll – insbesondere einem, das von komplexer Infrastruktur abhängt – kann das Risiko verstärken. Diversifikation und Kenntnis der zugrunde liegenden Mechanismen sind unerlässlich.

Ein Wendepunkt für die DeFi-Sicherheit

Dieser Angriff, kombiniert mit anderen hochkarätigen Exploits im Jahr 2026, signalisiert einen Wandel, wie DeFi Sicherheit angehen muss. Die Branche hat erhebliche Fortschritte bei Smart-Contract-Audits und formaler Verifikation gemacht. Doch die Angreifer haben sich angepasst. Sie zielen nun auf die Schichten ab, die außerhalb der Blockchain selbst liegen – die Schnittstellen, Kommunikationskanäle und Vertrauensannahmen, die Skalierbarkeit ermöglichen. Diese Entwicklung erfordert einen entsprechenden Paradigmenwechsel. Sicherheit kann nicht länger als ein Kontrollpunkt behandelt werden, der vor der Bereitstellung abgehakt wird. Sie muss in jede Ebene des Systems integriert, kontinuierlich getestet und unter Berücksichtigung feindlicher Bedingungen konzipiert werden. Protokolle, die diesen Wandel erkennen und entsprechend investieren, werden besser aufgestellt sein, um das Vertrauen der Nutzer in einem zunehmend feindseligen Umfeld zu erhalten.

Fazit

Der $293 Millionen KelpDAO-Exploit ist nicht nur ein weiterer Eintrag in der Liste der DeFi-Hacks. Es ist eine Fallstudie darüber, wie sich moderne Angriffe entwickeln und wo die nächsten Schwachstellen wahrscheinlich entstehen werden. Das Kernproblem war kein fehlerhafter Vertrag, sondern eine fragile Verbindung. Während DeFi weiter wächst und sich vernetzt, werden diese Verbindungen sowohl zu seiner größten Stärke als auch zu seinem größten Risiko. Die Lehre ist klar: Geschwindigkeit und Effizienz dürfen nicht auf Kosten der Widerstandsfähigkeit gehen. Denn im heutigen Umfeld sind die gefährlichsten Schwachstellen nicht immer im Code sichtbar – sie liegen in den Annahmen, die ihm zugrunde liegen.

Disclaimer

Dieser Artikel dient ausschließlich zu Informations- und Bildungszwecken. Er stellt keine Finanz-, Anlage- oder Handelsberatung dar. Kryptowährungen und DeFi bergen ein erhebliches Verlustrisiko. Führen Sie immer Ihre eigene Recherche durch und seien Sie vorsichtig.