An diesem Wochenende war der Satz "DeFi ist tot" kein Meme. Es war die tatsächliche Reaktion von Entwicklern, Händlern und Protokollen, die versuchten, das schlimmste Ansteckungsereignis in der jüngsten Geschichte des Sektors einzudämmen.
Die DeFi-Märkte wurden durch den $292 Millionen KelpDAO-Exploits an diesem Wochenende erschüttert, was den insgesamt gesperrten Wert um $14 Milliarden auf ein Einjahrestief senkte. AAVE fiel am Wochenende um 22,9%, während die Nutzer hastig versuchten, Gelder selbst von Protokollen abzuheben, die nicht direkt von dem Hack betroffen waren.
Aave könnte nach dem Kelp DAO-Brücken-Exploits bis zu $230 Millionen an Verlusten erleiden, was DeFi-Chaos auslöst. Aave veröffentlichte einen Bericht, der zwei mögliche Ergebnisse skizziert: etwa $123 Millionen an Verlusten, wenn der Schaden auf alle rsETH verteilt wird, oder bis zu $230 Millionen, wenn er auf Layer 2s beschränkt ist, wobei die endgültigen Auswirkungen davon abhängen, wie Kelp DAO das Defizit verteilt. Cleary Gottlieb
Die Ansteckungsmechanik lohnt es sich, sorgfältig zu verstehen, denn das war kein Bug im Code von AAVE.
Ein weit verbreiteter Beitrag beschrieb eine Kettenreaktion von Liquiditätsstress in Lending-Märkten: „ETH-Einleger können das ETH nicht abziehen, also leihen sie sich Stables, um ‚Mittel‘ abzuziehen… Das ist ein kompletter Run auf AAVE.“ Während Stani Kulechov, der Gründer von Aave, sagte, der Exploit sei extern gewesen und die Verträge des Protokolls seien nicht kompromittiert worden, gerieten die Einleger in Panik.
Die Panik breitete sich überall aus. „Der rsETH-Hack führt zu Abhebungen bei allen Lending-Protokollen, sogar auf Solana und bei nicht betroffenen Protokollen“, bemerkte ein Analyst und verwies auf starke Abflüsse, darunter „Aave: -6,2 Mrd. $ (-23%) Nettozuflüsse“ sowie kleinere, aber bemerkenswerte Rückgänge bei Morpho, Sky und JupLend.
Der Exploit beruht nicht darauf, Verschlüsselung zu brechen oder Smart Contracts zu umgehen. Stattdessen zeigte er, wie fragil Systeme werden können, wenn sie auf mehreren Ebenen von Annahmen aufbauen. Die Tools funktionierten wie vorgesehen. Die Art und Weise, wie sie konfiguriert waren, jedoch nicht. Entwickler drängen nun dazu, ihre Setups zu überprüfen – insbesondere Projekte, die auf plattformübergreifende Kommunikation (Cross-Chain Messaging) setzen. Wie ein Entwickler es unmissverständlich formulierte: „Checke deine Konfigurationen. Bleib da draußen sicher.“
Justin Sun postete in einer Aktion, die zu gleichen Teilen verzweifelt und auf eine düster-witzige Art bemerkenswert war, öffentlich an den Hacker: „OK — Kelpdao-Hacker, wie viel willst du? Reden wir einfach. Es lohnt sich nicht, sowohl Aave als auch KelpDAO wegen diesem Hack zu opfern. Außerdem kannst du sowieso keine 300 Millionen Dollar ausgeben.“
Die Reaktion „DeFi ist tot“ ist eine Übertreibung — sie kommt nach jedem großen Exploit. Doch die zugrunde liegende Sorge ist berechtigt. Wenn eine Fehlkonfiguration in einer LayerZero-Brücke innerhalb von 48 Stunden 14 Milliarden Dollar aus dem Ökosystem abziehen kann, wirft das ernsthafte Fragen auf, ob die Vernetzung von DeFi ein Feature oder eine systemische Schwachstelle ist.
Die ehrliche Antwort: Beides. Und jeder Exploit wie dieser zwingt die Branche dazu, besser zu bauen — falls sie die Krise überlebt.