🚨 KelpDAO wurde gerade für 292 Millionen Dollar ausgenutzt.
Hier ist, was passiert ist, was es bedeutet und was zu tun ist, wenn Sie betroffen sind.
Zuerst: wie es passiert ist:
KelpDAOs rsETH läuft auf einer LayerZero Cross-Chain-Brücke. Die Brücke hatte eine kritische Schwäche, eine einzelne Verifikator-Einrichtung anstelle von mehreren.
Der Angreifer fand es und nutzte es aus.
• Minted 116.500 gefälschte unbesicherte $rsETH, etwa 18% des Gesamvorrats aus dem Nichts
• Diese gefälschten rsETH als Sicherheiten in $Aave, Compound, Euler und anderen eingezahlt
• $ETH echte gegen gefälschte Sicherheiten geliehen
• Alles durch $UNI getauscht und über 20 Chains verschwunden
• 292 Millionen Dollar an faulen Schulden hinterlassen
Zwei Folgeveruschen von jeweils 100 Millionen Dollar wurden blockiert, nachdem KelpDAO die Notbremsung aktiviert hatte.
Was es für Aave bedeutet:
Aave ist hier das größte Opfer. Rund 177-200 Millionen Dollar an faulen Schulden, die in WETH-Pools auf V3 und V4 sitzen.
Die eigenen Verträge von Aave sind in Ordnung. Dies ist kein Aave-Exploit. Aber Aave akzeptierte rsETH als Sicherheiten und hält jetzt die Last.
Der Token ist um 16% gefallen, da die Märkte das Risiko des Sicherheitsmoduls einpreisen. Wenn faule Schulden nicht zurückgeholt werden können, könnte gestaktes AAVE im Sicherheitsmodul gekürzt werden, um dies zu decken.
Wenn Sie jetzt betroffen sind:
• Eng beobachten, einige Analysten empfehlen, vor einer Einigung abzuheben
• rsETH irgendwo halten, Ihre Positionen sind eingefroren, überprüfen Sie die offiziellen KelpDAO-Kanäle
• rsETH als Sicherheiten verwenden, eingefroren, ignorieren Sie dies nicht
• stETH oder wstETH, $Lido hat bestätigt, dass es nicht betroffen ist
• Aave auf Base oder isolierten Pools im Allgemeinen sicher
Dies ist der größte DeFi-Exploit von 2026. Es folgt dem 285 Millionen Dollar Drift-Hack vor nur 18 Tagen.
Das Muster ist jedes Mal dasselbe, Brücken sind das schwächste Glied. Nicht die Smart Contracts. Nicht die Protokolle. Die Brücken, die sie verbinden.
Ein einzelner Verifikator. Das hat gereicht, um 292 Millionen Dollar abzuziehen. 💀#
Hier ist, was passiert ist, was es bedeutet und was zu tun ist, wenn Sie betroffen sind.
Zuerst: wie es passiert ist:
KelpDAOs rsETH läuft auf einer LayerZero Cross-Chain-Brücke. Die Brücke hatte eine kritische Schwäche, eine einzelne Verifikator-Einrichtung anstelle von mehreren.
Der Angreifer fand es und nutzte es aus.
• Minted 116.500 gefälschte unbesicherte $rsETH, etwa 18% des Gesamvorrats aus dem Nichts
• Diese gefälschten rsETH als Sicherheiten in $Aave, Compound, Euler und anderen eingezahlt
• $ETH echte gegen gefälschte Sicherheiten geliehen
• Alles durch $UNI getauscht und über 20 Chains verschwunden
• 292 Millionen Dollar an faulen Schulden hinterlassen
Zwei Folgeveruschen von jeweils 100 Millionen Dollar wurden blockiert, nachdem KelpDAO die Notbremsung aktiviert hatte.
Was es für Aave bedeutet:
Aave ist hier das größte Opfer. Rund 177-200 Millionen Dollar an faulen Schulden, die in WETH-Pools auf V3 und V4 sitzen.
Die eigenen Verträge von Aave sind in Ordnung. Dies ist kein Aave-Exploit. Aber Aave akzeptierte rsETH als Sicherheiten und hält jetzt die Last.
Der Token ist um 16% gefallen, da die Märkte das Risiko des Sicherheitsmoduls einpreisen. Wenn faule Schulden nicht zurückgeholt werden können, könnte gestaktes AAVE im Sicherheitsmodul gekürzt werden, um dies zu decken.
Wenn Sie jetzt betroffen sind:
• Eng beobachten, einige Analysten empfehlen, vor einer Einigung abzuheben
• rsETH irgendwo halten, Ihre Positionen sind eingefroren, überprüfen Sie die offiziellen KelpDAO-Kanäle
• rsETH als Sicherheiten verwenden, eingefroren, ignorieren Sie dies nicht
• stETH oder wstETH, $Lido hat bestätigt, dass es nicht betroffen ist
• Aave auf Base oder isolierten Pools im Allgemeinen sicher
Dies ist der größte DeFi-Exploit von 2026. Es folgt dem 285 Millionen Dollar Drift-Hack vor nur 18 Tagen.
Das Muster ist jedes Mal dasselbe, Brücken sind das schwächste Glied. Nicht die Smart Contracts. Nicht die Protokolle. Die Brücken, die sie verbinden.
Ein einzelner Verifikator. Das hat gereicht, um 292 Millionen Dollar abzuziehen. 💀#