Die Top-Schlagzeilen dieser Woche
Den Weekly Wrap gibt es auch auf Spotify und Apple Podcasts. Es ist eine Zusammenfassung mit Hilfe von KI-Stimmen (auf Englisch verfügbar).
Die Top-Schlagzeilen dieser Woche
«KelpDAO’s rsETH-Bridge für rund 290 Millionen US-Dollar ausgenutzt.» Samstag, 18. April 2026
- Am vergangenen Wochenende nutzte ein Angreifer eine Sicherheitslücke in der von LayerZero betriebenen rsETH-Bridge von KelpDAO aus.
- Der Angreifer manipulierte die Bridge so, dass auf dem Ethereum-Mainnet rund 116'500 rsETH ohne reale Deckung geminted wurden, was zum damaligen Zeitpunkt einem Wert von rund 292 Millionen US-Dollar entsprach. Dies entspricht etwa 18 Prozent des gesamten rsETH-Umlaufangebots.
- Der Angreifer hinterlegte diese ungedeckten rsETH umgehend als Sicherheit auf Aave und lieh sich grosse Mengen WETH aus, da die Loan-to-Value-Ratio (LTV) für rsETH mit nahezu 1:1 sehr hoch angesetzt war.
- Exploit hinterliess bei Aave notleidende Forderungen von rund 177 bis 196 Millionen US-Dollar. Die Sicherheiten sind faktisch wertlos und können nicht gewinnbringend liquidiert werden.
- Dies löste erhebliche Panikabzüge aus: Innerhalb der ersten 48 Stunden nach dem Hack wurden zwischen 6.6 und 8.45 Milliarden US-Dollar aus Aave abgezogen. Zahlreiche Liquiditätspools, insbesondere für WETH, erreichten eine Auslastung von 100 Prozent, was bedeutet, dass Einleger und Kreditgeber ihre Mittel derzeit nicht abrufen können, da die gesamte verfügbare Liquidität ausgeliehen wurde. Betroffene Nutzer müssen warten, bis Kreditnehmer ihre Positionen zurückführen oder neue Liquidität in das Protokoll fliesst.
- Aave hat die rsETH-Märkte auf V3 und V4 eingefroren, um weiteren Schaden einzudämmen. Das Protokoll selbst wurde nicht direkt angegriffen; der Vorfall ist ausschliesslich auf den Exploit der KelpDAO-Bridge zurückzuführen.
- Am Montag ergriff der Arbitrum Security Council Sofortmassnahmen und frierte die 30'766 ETH ein, die in der mit dem Exploit verknüpften Adresse auf Arbitrum One gehalten wurden. Dabei wurde ein technisches Vorgehen entwickelt und umgesetzt, das die Mittel in Sicherheit bringt, ohne den Chain-Zustand oder andere Arbitrum-Nutzer zu beeinträchtigen. Haseeb Qureshi, Partner bei Dragonfly, erläuterte, dass Arbitrum eine privilegierte «Type 101»-ArbOS-Transaktion einsetzte, um die ETH zwangsweise vom Angreifer zurückzuholen. Dieser Eingriff auf Systemebene umging den privaten Schlüssel des Angreifers vollständig, ohne dass eine Chain-Reorganisation erforderlich war.
- In der Zwischenzeit tauschte der Angreifer nahezu alle verbleibenden 75'700 ETH im Wert von rund 175 Millionen US-Dollar in BTC um. Die Cross-Chain-Swaps wurden dabei hauptsächlich über THORChain abgewickelt.
- Das Total Value Locked (TVL) von Aave sank um rund 45 Prozent; seit dem Exploit am vergangenen Samstag flossen insgesamt rund 12 Milliarden US-Dollar aus dem Protokoll ab.






