- Ein Hacker führte eine Transaktion aus, die 292 Millionen Dollar von KelpDAO absaugte.
- Weitere Versuche, zusätzliche 100 Millionen US-Dollar abzuziehen, wurden durch eine Protokollpause blockiert.
- Infolgedessen könnte Aave V3 einer schlechten Schuldenbelastung von bis zu 177 Millionen US-Dollar ausgesetzt sein.
Ein Hacker finanzierte seine Wallet über Tornado Cash am Samstag, wartete 10 Stunden und führte dann eine Transaktion aus, die 292 Millionen Dollar von KelpDAO absaugte.
Als jemand es bemerkte, war das Geld weg. Und als KelpDAO pausierte, waren zwei weitere Versuche innerhalb von Minuten fehlgeschlagen.
KelpDAO-Hacker wollte $391 Million abfließen lassen
Die Wallet, die den Angriff durchführte, wurde über Tornado Cashs 1-ETH-Pool finanziert. Dies ist ein standardmäßiger Verschleierungsschritt, der die Adresse mit sauberem Gasgeld versorgte.
Die Wallet rief lzReceive auf LayerZero’s EndpointV2-Vertrag auf, und KelpDAO’s OFT-Bridge gab 116.500 rsETH an eine separate Angreifer-Adresse frei. Der Abfluss war in einer Transaktion abgeschlossen.
Was folgte, zeigte, wie eng die Margen waren. Der Angreifer kehrte zweimal zurück. Zwei weitere LayerZero-Pakete trafen die Bridge, jedes zielte auf 40.000 rsETH, was zusammen etwa 100 Millionen Dollar wert war. Beide wurden rückgängig gemacht.
Fünf Minuten zuvor hatte Kelps Emergency-Pauser-Multisig pauseAll ausgeführt. Der Aufruf sperrte den LRT Deposit Pool, den Withdrawal-Vertrag, den LRT Oracle und auch den rsETH-Token. Das Intervall zwischen dem erfolgreichen Abfluss und der Pause betrug 46 Minuten. Und das Intervall zwischen der Pause und dem nächsten Angriffsversuch betrug fünf Minuten.
KelpDAOs Gesamtverlust wäre etwa 391 Millionen Dollar gewesen, wenn die zweiten und dritten Versuche des Angreifers erfolgreich gewesen wären.
Der Angreifer löst Aave Bad Debt aus
Die 116.500 rsETH-Token waren zu aktuellen Preisen etwa 292 Millionen Dollar wert. Der Betrag entspricht ~18 % der umlaufenden rsETH-Versorgung von ~630.000.
rsETH ist ein Liquid Restaking Token, das auf EigenLayer aufgebaut ist und auf mehr als 20 Netzwerken bereitgestellt wird, darunter Base, Arbitrum, Linea, Blast, Mantle und Scroll.
Der Angreifer hielt die gestohlenen rsETH-Token nicht einfach. Laut On-Chain-Daten wurden die Token als Sicherheit in Aave V3 eingezahlt, um große Mengen an Ether und Wrapped Ether zu leihen. Die Gelder wurden über Tornado Cash zurückgeleitet, um die Spur zu verwischen.
Dieser Schritt verwandelte einen Bridge-Exploit in ein potenzielles Bad-Debt-Problem für Aave, eine der größten Kreditplattformen von DeFi. Aave V3 könnte infolgedessen einer Bad-Debt-Exposition von bis zu 177 Millionen Dollar ausgesetzt sein.
Blockchain-Ermittler ZachXBT markierte den Vorfall innerhalb einer Stunde auf Telegram. „KelpDAO scheint vor einer Stunde 280 Mio. $+ auf Ethereum und Arbitrum gestohlen worden zu sein“, schrieb er und bestätigte, dass die Hacker-Wallets über Tornado Cash finanziert wurden.
Kelps erste öffentliche Erklärung erfolgte auf X, mehr als zweieinhalb Stunden nach dem Abfluss. „Wir haben heute früher verdächtige Cross-Chain-Aktivitäten im Zusammenhang mit rsETH identifiziert“, schrieb das Protokoll. „Wir haben rsETH-Verträge auf Mainnet und mehreren L2s pausiert, während wir ermitteln. Wir arbeiten mit LayerZero, Unichain, unseren Auditoren und führenden Sicherheitsexperten an der RCA.“
Aave sperrte alle rsETH-Märkte sowohl auf Aave V3 als auch auf V4. Das Protokoll bestätigte auf X, dass die Verwundbarkeit in rsETH lag, nicht in Aaves eigenen Verträgen. „Wir prüfen Informationen über rsETH-Kredite auf Aave, die nach dem Exploit stattfanden, und werden so bald wie möglich weitere Details teilen“, schrieb Aave. Das Aave-Team untersucht auch Möglichkeiten, die Verluste abzudecken.
Aave fiel an diesem Tag um 10,65 % auf 103,86 $. Ethereum fiel um ~3 % und notiert derzeit bei 2.358,24 $.
Der Angriff auf KeplerDAO ereignete sich weniger als zwei Wochen nach einem 286-Millionen-Dollar-Exploit des Drift Protocol, dem größten Krypto-Diebstahl von 2026 bisher. Laut einem Bericht von Cryptopolitan ist der Drift-Protocol-Hack mit derselben Gruppe verbunden, die 1,4 Milliarden Dollar von Bybit stahl.
KelpDAO nimmt nun den ersten Platz auf der Liste der größten Krypto-Hacks im Jahr 2026 ein.
Die klügsten Krypto-Köpfe lesen bereits unseren Newsletter. Lust dabei? Mach mit.
Haftungsausschluss. Die bereitgestellten Informationen stellen keine Anlageberatung dar. Cryptopolitan.com Wir übernehmen keine Haftung für Investitionen, die auf den auf dieser Seite bereitgestellten Informationen basieren. Wir empfehlen dringend, vor jeglichen Anlageentscheidungen eine unabhängige Recherche durchzuführen und/oder einen qualifizierten Fachmann zu konsultieren.
Randa Moses
Randa Moses ist Redakteurin und Reporterin bei Cryptopolitan, wo sie über Technologie, KI, Robotik, Krypto, Betrug und Hacks berichtet. Sie arbeitet seit 2017 im Krypto-Bereich. Zuvor war sie bei Forward Protocol, AmaZix und Cryptosomniac tätig. Randa besitzt einen Abschluss in Elektrotechnik und Elektronik der University of Bradford.
