Kelp DAO, ein liquid Restaking-Protokoll, das mit EigenLayer verbunden ist, wurde am 18. April 2026 ausgenutzt. Rund 292 Millionen US-Dollar in $RSETH wurden über die LayerZero-Cross-Chain-Brücke abgezogen.
Der Angreifer fälschte eine Cross-Chain-Nachricht, die vom System als gültig akzeptiert wurde, obwohl auf der Quell-Chain keine echte Einzahlung stattgefunden hatte. Dies ermöglichte es ihnen, etwa 116.500 rsETH zu minten oder freizuschalten, ohne dass echtes ETH dahinterstand.
Die gestohlenen rsETH wurden dann an Aave gesendet, ein großes DeFi-Kreditprotokoll, wo sie als Sicherheiten verwendet wurden, um große Beträge von echtem ETH und wrapped ETH zu leihen. Als die Protokolle reagierten, war ein Großteil des geliehenen ETH bereits bewegt worden.
Ein zweiter Angriff wurde fast ausgeführt, der weitere 100 Millionen US-Dollar hätte abziehen können, aber eine schnelle Blacklist-Reaktion stoppte ihn kurz bevor er durchging.
Kelp DAO pausierte die rsETH-Verträge über das Mainnet und mehrere Layer-2-Chain. Aave fror die $RSETH-Märkte ein. Compound, Euler Labs und das Venus-Protokoll haben ebenfalls ihre Exposition überprüft und angepasst.
Es wird berichtet, dass der Fehler in der Schicht des Dezentralen Verifier-Netzwerks aufgetreten ist, das für die Bestätigung von Cross-Chain-Nachrichten verantwortlich ist, nicht in den Kern-Smart Contracts selbst. Dies weist auf eine Konfigurationsschwäche hin, wie externe Validierung vertraut wurde.
Der Exploit wurde erstmals von dem Blockchain-Ermittler ZachCBT gemeldet und wird nun als einer der größten DeFi-Vorfälle von 2026 angesehen, der zeigt, wie ein einzelner Brückenfehler das Risiko innerhalb von Minuten über das gesamte DeFi-Ökosystem verbreiten kann.
#KelpDAO #security #Hack #Hacked #exploit