Kelp DAO gehackt und 293 Millionen Dollar erbeutet

Das Liquid-Restaking-Protokoll Kelp DAO wurde Opfer des größten DeFi-Hacks des Jahres 2026. Der Angreifer stahl 116.500 $rsETH im Wert von 293 Millionen US-Dollar durch eine Sicherheitslücke im OFT-Smart-Contract von LayerZero. Anstatt eines einfachen Token-Tauschs zahlte der Hacker die gestohlenen Token sofort in Aave (sowie Compound V3 und Euler) ein und lieh sich saubere WETH/ETH im Wert von über 236 Millionen US-Dollar.

Dies löste eine Kettenreaktion aus. Die Entstehung massiver notleidender Kredite (geschätzt auf 177–280 Millionen US-Dollar) in den Aave-Pools versetzte die Großinvestoren in Panik. Laut Lookonchain wurden Vermögenswerte im Wert von über 5,4 Milliarden US-Dollar in ETH aus dem Protokoll abgezogen. Die Auslastung des WETH-Pools erreichte 100%, der Gesamtwert der ausstehenden Kredite (TVL) von Aave sank um mehr als 6 Milliarden US-Dollar (von über 26 Milliarden US-Dollar auf rund 22 Milliarden US-Dollar), und der AAVE- Token brach innerhalb von 24 Stunden um 20% ein.

Wie der Hack ablief

Der Angriff erfolgte um 17:35 UTC über eine gefälschte Cross-Chain-Nachricht in LayerZero (die lzReceive- Funktion). Der Angreifer erzeugte eine gefälschte Anweisung eines Peer-Smart-Contracts (vermutlich auf Unichain), wodurch der OFT-Adapter von Kelp DAO 116.500 rsETH (18% des gesamten Umlaufbestands) direkt aus dem Treuhandkonto ohne jegliche Deckung prägte.

Es handelte sich hierbei nicht um einen klassischen Smart-Contract-Bug in Kelp selbst, sondern um eine Ausnutzung auf Brückenebene durch 1-von-1-DVN-Validierung.

Der Hacker verkaufte die rsETH nie auf dezentralen Börsen. Stattdessen nutzte er die Token umgehend als Sicherheiten in verschiedenen Kreditprotokollen und hob echtes ETH ab. Innerhalb von nur 46 Minuten pausierte Kelp DAO die Smart Contracts; zwei weitere Angriffe des Hackers (mit einem Ziel von weiteren rund 200 Millionen US-Dollar) wurden erfolgreich abgewehrt.

Protokollreaktionen

• Kelp DAO hat umgehend alle rsETH-Verträge im Ethereum-Mainnet und auf allen Layer-2-Plattformen (Arbitrum, Base, Scroll usw.) pausiert. Offizielle Stellungnahme: „Wir arbeiten mit LayerZero, Wirtschaftsprüfern und Sicherheitsexperten an der Ursachenanalyse.“
• Aave hat den gesamten rsETH-Handel auf V3 und V4 lahmgelegt. Gründer Stani Kulechov betonte: „Aave selbst wurde nicht gehackt – das Problem liegt darin, dass rsETH als Sicherheit verwendet wurde.“
• SparkLend, Fluid und Upshift führten ebenfalls Notfallbeschränkungen ein.

Marktauswirkungen

• rsETH auf L2s ist nun einem ernsthaften Depeg-Risiko ausgesetzt, die Mainnet-Unterstützung ist gefährdet.
• Der gesamte TVL im DeFi-Sektor sank aufgrund weit verbreiteter Panik um mehr als 10 Milliarden US-Dollar.
• Dies ist bereits der zweite Hack mit einem Schaden im dreistelligen Millionenbereich innerhalb eines Monats (nach dem Exploit beim Drift Protocol, bei dem 285 Millionen US-Dollar erbeutet wurden). 2026 dürfte alle Rekorde für DeFi-Exploits brechen.

Der Hacker hat begonnen, Gelder über Tornado Cash zu waschen. Eine Rückgewinnung der Vermögenswerte erscheint derzeit unwahrscheinlich, obwohl Tron-Gründer Justin Sun öffentlich angeboten hat, mit dem Angreifer „ein Gespräch zu führen“.