Risikotransfer: Wer ist betroffen?
Verfasst von: KarenZ, Foresight News
Am 22. März 2026 erlebte Resolv ein schwerwiegendes Sicherheitsereignis. Angreifer haben durch einen geleakten privaten Schlüssel unbefugten Zugriff auf die Infrastruktur von Resolv erlangt und nur mit zwei Transaktionen und 200.000 Dollar 80 Millionen unbesicherte USR-Stablecoins geprägt.
Die Ausstiegsstrategie der Angreifer ist ebenfalls sauber. Die Angreifer haben USR auf mehreren DEX in USDC und USDT aufgeteilt, dann in ETH umgewandelt, und letztendlich befinden sich 11,408 ETH im Wallet, was etwa 24 Millionen Dollar entspricht.
Der Preis von USR fiel zeitweise unter 0,03 Dollar und hat sich mittlerweile auf etwa 0,3 Dollar erholt, das Ankern wurde jedoch noch nicht wiederhergestellt.
Dies ist einer der repräsentativsten DeFi-Sicherheitsvorfälle seit 2026 und hat sich auf mehrere Protokolle übertragen. Das umstrittenste sind wahrscheinlich Morpho und Fluid.
Risikotransmission: Wer hat die Folgen zu tragen?
USR wird als Sicherheiten und Handelspaar in mehrere DeFi-Protokolle integriert. Die massive Abwertung von USR hat eine Kettenreaktion ausgelöst.
Morpho: Versagen von Orakeln und Risikomanagement
Morpho hat umgehend erklärt, dass es keine Schwachstellen im zugrunde liegenden Vertrag des Protokolls gibt. Aber 'keine Schwachstellen' und 'keine Probleme', 'keine Verluste' sind zwei verschiedene Dinge.
Morpho hat kürzlich bekannt gegeben, dass von 500 Tresoren mit Einlagen von über 10.000 US-Dollar etwa 15 Tresore eine große Exposition gegenüber den betroffenen Märkten haben.
Es gibt Arbitrageure, die nach der Abwertung von USR zu einem Discount eingekauft haben, um es dann in das Protokoll einzulagern, während die internen Orakel im Protokoll weiterhin zu 1 US-Dollar bewerten. Arbitrageure nutzen diese Preisdifferenz, um echtes USDC zu leihen und die Liquidität der Stablecoins im Treasury abzuziehen.
Wie kam es dazu? Neben dem Orakelproblem war das, was die Verluste außer Kontrolle geraten ließ, eine Funktion von Morpho, die als 'Public Allocator' bekannt ist.
Das Design dieser Funktion war ursprünglich gut: die Auslastung der verschiedenen Kreditmärkte zu überwachen und, wenn die Erträge eines Marktes sprunghaft ansteigen, automatisch USDC aus dem Treasury dorthin zu transferieren, um den Kuratoren zu helfen, höhere Erträge zu erfassen. In normalen Märkten ist dies ein elegantes Werkzeug der Kapitaleffizienz.
Nach dem Angriff stieg die Nutzung des USR-Marktes aufgrund von Liquidationen und Arbitrage sprunghaft an. Automatisierte Tresore von Institutionen wie Gauntlet erkannten 'hohe Ertragsignale'. Sie wussten nicht, dass es sich um einen 'gefährlichen' Markt handelte - also begannen sie kontinuierlich, Kapital zu investieren.
Omer Goldberg, Gründer von Chaos Labs, hat die Zeitachse dieses absurden Dramas rekonstruiert: Gauntlet startete 20 Minuten nach dem Angriff die automatisierte Konfiguration, die etwa 90 Minuten dauerte; ein anderer Kurator, 9summits, hatte sogar 10 Stunden lang nach dem Angriff weiter Kapital bereitgestellt, bis dies manuell entdeckt und gestoppt wurde. Mehrere Kuratoren, darunter Gauntlet, re7, kpk und 9summits, haben nach dem Vorfall automatisch Kapital in den Resolv-Markt bereitgestellt.
Omer Goldberg hat statistische Daten veröffentlicht, die zeigen, dass etwa 6,2 Millionen US-Dollar USDC als 'Exit-Liquidität' 'gefüttert' wurden, um den Kreditnehmern von USR zu helfen, wobei 96 % der Mittel (ca. 6 Millionen US-Dollar) aus dem von Gauntlet verwalteten Treasury stammen.
Omer Goldberg hat auch zwei fatale Punkte angesprochen: Erstens, dass die Märkte von Morpho hartcodierte Orakel verwendet haben, die in extremen Abwertungen nicht rechtzeitig anzeigen können, dass Vermögenswerte null oder stark abgewertet sind; zweitens, dass das Risikomanagement versagt hat. Die Rolle des Kurators oder Risikomanagers sollte darin bestehen, unter Stress Tests manuelle Entscheidungen zu treffen, aber die Reaktion in diesem Vorfall war träge.
Fluid: Am stärksten betroffen, am umstrittensten
Unter allen betroffenen Protokollen ist Fluid eines der am meisten diskutierten Protokolle in diesem Vorfall.
Um dies zu verstehen, muss man zuerst die Struktur des Fluid-Protokolls verstehen.
Fluid wurde 2024 von dem Instadapp-Team eingeführt. Instadapp operiert seit 2018 als DeFi 'Middleware' und stellte dann fest, dass die Innovation mit bestehenden Protokollen begrenzt war. Daher haben sie beschlossen, ihr eigenes Protokoll zu schaffen - Fluid, ein Protokoll, das Kreditvergabe und Handelsliquidität vollständig integriert.
Die Kernphilosophie von Fluid ist, die Liquidität von Kreditvergabe und Handel zu integrieren, sodass dasselbe Asset mehrere Dinge gleichzeitig tun kann, konkret durch zwei innovative Mechanismen.
Smart Collateral (intelligente Sicherheiten): Die hinterlegten Sicherheiten fungieren gleichzeitig als Liquidität für den AMM-Pool, während sie darauf warten, dass du zurückzahlst und gleichzeitig anderen bei Transaktionen hilfst, um Gebühren zu verdienen.
Smart Debt (intelligente Schulden): Das geliehene Geld ist nicht untätig, sondern wird automatisch in den AMM-Pool eingespeist, um Liquidität bereitzustellen, und die erworbenen Transaktionsgebühren dienen zur Deckung der Zinsen - im Extremfall kann dies sogar zu 'negativen Zinskrediten' führen.
Mit diesem Design hat Fluid den LTV (Loan-to-Value) auf 95 % gebracht, und die Liquidationsstrafe beträgt nur 0,1 %. Diese Mechanik ist in normalen Märkten vorteilhaft, aber in extremen Abwertungen ist der Spielraum fast gleich null - jede kleine Schwankung im Wert der Sicherheiten kann eine Kettenliquidation auslösen.
Wie könnte der Resolv-Angriff Fluid betreffen?
Das Problem liegt im Kreditmarkt von Fluid. Fluid akzeptierte zuvor wstUSR (Wrapped Staked USR) als Sicherheiten. Als USR fiel, verdampfte der Wert dieser Sicherheiten sofort.
Ausfälle sind ein unvermeidliches Ergebnis. Auf der folgenden Fluid-Kreditseite werden mehrere Marktbedingungen gezeigt, in denen wstUSR (die gestakte Version von USR von Resolv) als Sicherheiten verwendet wird.
Omer Goldberg hat statistische Daten veröffentlicht, die zeigen, dass Fluid potenzielle Ausfälle von über 11 Millionen US-Dollar hat.
Quelle: Omer Goldberg
In diesem Zusammenhang hat Fluid erklärt, dass das Team kurzfristige Kredite erhalten hat, um 100 % der aktuellen Ausfälle im Protokoll abzudecken. Diese Mittel stammen von Konstantin Lomashuk von Cyber Fund (einem der Investoren von Fluid), dem Mitbegründer von Jupiter, meow, und dem Kernteam von Fluid. Gleichzeitig haben mehrere Investoren erklärt, dass sie, falls zusätzliche Mittel benötigt werden, bereit sind, FLUID-Token aus dem Treasury zu kaufen, um weiter abzusichern.
Samyak Jain, der Gründer von Fluid, hat ebenfalls öffentlich erklärt: 'In den nächsten 2 bis 4 Wochen werden wir uns auf zwei Dinge konzentrieren: die Sicherheit von Fluid zu erhöhen und die Sicherheitsmechanismen zu automatisieren. Wir möchten, dass Roboter innerhalb von 30 bis 60 Sekunden reagieren, anstatt auf die Reaktion des Teams zu warten - das Team könnte 30 bis 60 Minuten benötigen. Fluid wird die komplexeste Sicherheitsinfrastruktur aufbauen, die es bestimmten Teilen des Protokolls ermöglicht, basierend auf den Marktbedingungen automatisch in den Frozen Status überzugehen.'
Wie reagiert der Markt? DefiLlama-Daten zeigen, dass der TVL von Fluid von 1,25 Milliarden US-Dollar vor dem USR-Angriff auf derzeit 870 Millionen US-Dollar gefallen ist, was einen Rückgang von 380 Millionen US-Dollar innerhalb eines Tages bedeutet, was einem Rückgang von 30 % entspricht.
Was die Preise betrifft, so ist Morpho in den letzten 24 Stunden um 3,64 % gefallen, während FLUID in den letzten 24 Stunden einen Rückgang von bis zu 15 % verzeichnet hat.
Welche anderen betroffenen Protokolle und Beteiligten gibt es?
RLP-Inhaber: RLP ist der 'Risikofonds' des Protokolls, der speziell für USR-Inhaber als Sicherheitsnetz dient, jedoch mit höheren Erträgen. @yieldsandmore hat festgestellt: Vor dem Vorfall betrug die gesamte Umlaufmenge von RLP 29.999.625, was etwa 38,6 Millionen US-Dollar entspricht, wobei der größte Inhaber Stream Finance ist, das im November 2025 durch Unterschlagung von Vermögenswerten 93 Millionen US-Dollar verloren hat und etwa 13,6 Millionen RLP in Morpho hält, mit einem Nettorisiko von etwa 17 Millionen US-Dollar. Es ist bemerkenswert, dass der offizielle Twitter-Account von Stream Finance seit November 2025 keine Updates mehr veröffentlicht hat.
Leverage Ertragsstrategie Produkt yoUSD: verwendet ebenfalls RLP als Sicherheiten, mit einer Exposition von 2,75 % gegenüber RLP und einem Bestand von 943.248 RLP.
Inverse Finance: Schnelle Reaktion. Offiziell wurde erklärt, dass die Risikogruppe den wstUSR-DOLA FiRM-Markt 15 Minuten nach dem ersten Angriff auf USR ausgesetzt hat. Die Liquidatoren reagierten schnell, sodass die endgültigen Ausfälle nur 340.000 US-Dollar betrugen.
Zusammenfassung
Wenn man etwas Abstand nimmt, wirft der Resolv-Vorfall eine äußerst scharfe und schwer zu vermeidende Frage für die gesamte DeFi-Branche auf: Die Sicherheitsuntergrenze von Protokollen hängt längst nicht mehr nur von Code-Audits ab.
Audits sind vorausschauend, Überwachung ist in Echtzeit, beide sind unerlässlich. Echter Schutz erfordert auch eine fortlaufende, Echtzeitüberwachung während des Betriebs. Sobald jede Anomalie festgestellt wird (Mismatches bei Reserven, abnormaler Operatorensignatur usw.), muss in Sekunden- oder sogar Millisekunden-Reaktion ein 'Hard Stop' ausgelöst werden, um eine Risikoverbreitung zu verhindern.
Für alle Kredit-, Derivate- oder Liquiditätsprotokolle, die externe Stablecoins als Sicherheiten akzeptieren, ist es umso wichtiger zu verstehen: Du kannst deine Smart Contracts kontrollieren, aber du kannst niemals die Präge-Logik, Schlüsselverwaltung und Betriebssicherheit jener Stablecoins, auf die du angewiesen bist, kontrollieren. Dieses externe Risiko ist das hartnäckigste und schwer zu beseitigende strukturelle Manko in der 'Lego'-artigen Architektur von DeFi.
Gleichzeitig muss im Streben nach extremer Effizienz in DeFi auch eine stärkere Risikotrennung und Firewall gegen externe Abhängigkeiten etabliert werden. Andernfalls könnte jedes Mal, wenn du 'Lego'-Steine zusammenfügst, im nächsten Moment der Anfang einer Dominokettenreaktion sein.
Sicherheit ist nicht nur ein Luxus, sondern die Lebensader für das langfristige Überleben von DeFi.