coindesk.com
Das teuerste DeFi-Angriff im Jahr 2026 begann mit der Restake-Brücke für Ether (rsETH) von KelpDAO, nicht mit einem Fehler im Code von Aave. Dies argumentiert das Lending-Protokoll in einem offizielle Nachbesprechung diese Woche veröffentlicht, genau aus diesem Grund muss die Branche ihre Methoden zur Risikomessung überdenken.
Aave gab bekannt, dass es eine Überprüfung aller auf V3 gelisteten Vermögenswerte einleitet und seine Listungsstandards nach dem im April aufgedeckten Exploit mit 230 aus ETH erneut eingesetzten Token überarbeitet, der eine neue Risikoklasse im DeFi-Bereich offenlegte.
Die Nachanalyse des Protokolls führte den Angriff nicht auf eine Schwachstelle in den Smart Contracts von Aave zurück, sondern auf ein Verifikationsversagen der LayerZero-Bridge, bei dem ein einzelner Prüfer eine gefälschte Cross-Chain-Nachricht genehmigte, die 116.500 unbesicherte rsETH freisetzte.
Zukünftig wird Aave bei der Bewertung von Sicherheiten neben den finanziellen und Smart-Contract-Risiken, die traditionell geprüft wurden, auch Brücken, Orakelsabhängigkeiten, Verwahrer und operative Sicherheit berücksichtigen.
KelpDAO ist ein „Restaking“-Dienst, der es Nutzern ermöglicht, ihr bereits im Ethereum-Netzwerk gebundenes Ether zur Generierung von Staking-Erträgen zu verwenden und es gleichzeitig als Sicherheit zu nutzen, um zusätzliche Renditen aus anderen Protokollen zu erzielen. Der Token rsETH repräsentiert den Anspruch eines Nutzers auf dieses erneut gestakte Ether. Um rsETH zwischen Blockchains zu transferieren, verwendet KelpDAO LayerZero, eine Infrastrukturkomponente, die als Cross-Chain-Bridge fungiert und Nachrichten zwischen Netzwerken übermittelt, sodass ein auf einer Chain ausgegebener Token auf einer anderen erscheinen kann.
Brücken verlassen sich auf eine Gruppe unabhängiger Prüfer, die jede Nachricht bestätigen, bevor die empfangende Blockchain die entsprechenden Token freigibt.
Im Angriff im April genehmigte nur einer dieser Prüfer eine gefälschte Nachricht, was dem Angreifer ermöglichte, 116.500 rsETH auf der empfangenden Kette zu prägen, ohne dass tatsächlich Ether dahinterstand.
Diese Token wurden anschließend in Aave eingezahlt, einem Kreditprotokoll, bei dem Nutzer Kredite gegen hinterlegte Sicherheiten aufnehmen, und verwendet, um Kredite aufzunehmen, die Aave nicht zurückerhalten konnte, als sich das rsETH als wertlos herausstellte. Der Code von Aave funktionierte genau wie vorgesehen. Die hinterlegte Sicherheit stellte sich als gefälscht heraus, da die Brücke, die sie lieferte, kompromittiert worden war.
Während LayerZero Anfang dieses Monats zugab, dass es "einen Fehler gemacht" Indem es sein eigenes Verifizierungssystem zur Sicherung hochwertiger Vermögenswerte in einer One-of-One-Konfiguration ermöglicht, geht Aaves Nachbetrachtung einen Schritt weiter, indem sie den Vorfall nutzt, um eine umfassendere Überarbeitung des Risikomanagements im DeFi-Bereich zu rechtfertigen.
Das Protokoll argumentiert, dass traditionelle Bewertungen, die sich auf Volatilität, Liquidität und Smart-Contract-Audits konzentrieren, die Risiken, die durch Bridges, Verifizierungsnetzwerke und andere Infrastrukturen entstehen, die außerhalb des Anwendungscodes liegen, nicht erfassen konnten.
Über Smart-Contract-Prüfungen und Finanzrisikoanalysen hinaus gab Aave bekannt, dass nun auch Brückeninfrastrukturen, Oracle-Abhängigkeiten, Drittvertragswerke, Verwahrungsvereinbarungen, operative Sicherheitspraktiken sowie die Liquidität auf dem Sekundärmarkt bewertet werden, bevor eine Zulassung oder Erweiterung von Sicherheitenlisten erfolgt.
Das Protokoll entwickelt zudem neue automatisierte Schutzmechanismen, die darauf ausgelegt sind, schneller zu reagieren, wenn Sicherheiten Anzeichen von Stress zeigen. Zu den im Postmortem skizzierten Vorschlägen gehört ein System, das das Beleihungsauslauf-Verhältnis eines Vermögenswerts automatisch auf null reduziert, sobald vordefinierte Risikoschwellen überschritten werden, und dadurch dessen Kreditaufnahmefähigkeit entfernt, bevor Verluste sich auf den breiteren Markt ausweiten können.
Seit dem Exploit gibt Aave an, dass seine Risikomanager bereits etwa 295 Parameteränderungen in den V3-Märkten vorgenommen haben, darunter 168 Reduzierungen der Angebotsobergrenze und 66 Reduzierungen der Kreditobergrenze, die darauf abzielen, die Exponierung gegenüber einzelnen Vermögenswerten zu begrenzen.
Da DeFi-Protokolle zunehmend miteinander vernetzt sind, legt das Postmortem von Aave nahe, dass die Branche nicht nur die gelisteten Vermögenswerte, sondern auch die Infrastruktur, auf die diese Vermögenswerte angewiesen sind, genauer überprüfen muss