Aave verzeichnet ETH-Abflüsse von 5,4 Mrd. US-Dollar nach rsETH-Exploit bei Kelp DAO
Ein Exploit von knapp 300 Mio. US-Dollar gegen die Crosschain-Bridge von Kelp DAO's rsETH hat bei Aave eine massive Abzugswelle ausgelöst. Nutzer zogen in kurzer Zeit mehr als 5,4 Mrd. US-Dollar an ETH aus dem Protokoll ab, nachdem Sorgen über mögliche "Bad Debt" (uneinbringliche Schulden) aufkamen.
Nach Angaben aus Onchain-Auswertungen zahlte der Angreifer rsETH bei Aave ein, um ETH abzuziehen. Dadurch blieb Aave auf einem Risiko sitzen, das sich nicht ohne Weiteres zurückdrehen lässt. Die unmittelbare Folge: Die ETH-Auslastungsquote im Aave-Lending-Pool stieg auf 100%. Damit ist das gesamte verfügbare ETH verliehen, ein Liquiditätspuffer steht aktuell nicht mehr zur Verfügung.
Große Wallets trieben die Dynamik mit. Justin Sun hob in einem Schritt 65.584 ETH im Wert von rund 154 Mio. US-Dollar ab. Lookonchain führt den gesamten Abfluss von 5,4 Mrd. US-Dollar auf eine Flucht gut informierter Marktteilnehmer zurück, die die Bedeutung von Bad Debt für Einzahler kennen, wenn Auszahlungen nicht mehr jederzeit möglich sind.
Kelp DAO setzte die rsETH-Verträge nach dem Auffinden verdächtiger Crosschain-Aktivitäten auf dem Mainnet und mehreren Layer-2-Netzwerken aus. Das Team erklärte, gemeinsam mit LayerZero, Unichain, Auditoren und Sicherheitsexperten an der Ursachenanalyse zu arbeiten. D2 Finance verwies in einer Onchain-Analyse auf einen geleakten Private Key auf der Source-Chain als Auslöser. Das habe ein Vertrauensproblem mit OApp-Nodes geschaffen, das Manipulationen an der Bridge ermöglichte.
Ermittler nennen zwei mögliche Fehlerpfade: Existiert für die betreffende Nonce eine legitime Source-Transaktion, soll die Kompromittierung beim OApp-Key auf der Source-Seite liegen. Taucht keine Source-Transaktion auf, wird ein Versagen auf DVN-Seite diskutiert, verstärkt durch Kelps Konfiguration eines Single Point of Failure, bei der LayerZero Labs als alleiniger Verifier eingesetzt wurde.
Die Verträge von Kelp DAO bleiben bis auf Weiteres pausiert. Bei Aave bedeutet eine ETH-Auslastung von 100%, dass Einzahler erst dann wieder abheben können, wenn geliehenes ETH zurückgezahlt wird oder neue Liquidität in den Pool fließt. Im Fokus steht die Frage nach möglichen Verlusten: Sollten die betroffenen rsETH-Positionen nicht wiederhergestellt werden können, muss Aave klären, wie Schäden innerhalb des Protokolls verteilt werden. Solche Prozesse gelten historisch als konfliktträchtig und langwierig.
Weitere Forensik, einschließlich einer Cluster-Map des Angreifers, wird noch erstellt. Offizielle Updates werden im Verlauf der Untersuchung über die verifizierten Kanäle von Kelp DAO erwartet.
Tags: Krypto-News
