coinedition.com
Ein einziger Exploit auf der rsETH-Cross-Chain-Brücke von KelpDAO hat neun wichtige DeFi-Protokolle eingefroren, schlechte Kredite auf Aave geschaffen und Schockwellen durch den Liquid-Restaving-Sektor geschickt.
Der Angreifer entlockte in einer koordinierten Operation 116.500 $ETH im Wert von etwa 293 Millionen Dollar von der KelpDAO-Brücke. Innerhalb von Minuten wurde das gestohlene rsETH als Sicherheit in Aave eingezahlt, um $ETH zu leihen, wodurch eine faude Forderung entstand, die das Protokoll nun aufnehmen muss. Die Geldbörsen des Angreifers wurden über Tornado Cash, den Datenschutz-Mixer, finanziert, was auf eine vorgeplante Hinrichtung und nicht auf einen opportunistischen Diebstahl hindeutet.
Earlier today we identified suspicious cross-chain activity involving rsETH. We have paused rsETH contracts across mainnet and several L2s while we investigate.
— Kelp (@KelpDAO) April 18, 2026
We are working with @LayerZero_Core, @unichain, our auditors and top security experts on RCA.
We will keep you…
KelpDAOs Notfall-Multisig fror die Kernkontrakte des Protokolls 46 Minuten nach Abschluss des Abflusses ein. Das Team veröffentlichte fast drei Stunden nach Beginn des Vorfalls keine öffentliche Stellungnahme.
Die Kaskade, die niemand wollte
Der einzelne Exploit traf neun Protokolle gleichzeitig:
- Aave V3 — fror rsETH-Märkte ein, potenzielle Belastung durch faude Forderungen
- SparkLend — Märkte pausiert
- Lido Earn über Mellow Strategy Meta-Vault — eingefroren
- Fluidität — Märkte pausieren
- Compound — Märkte pausiert
- Euler — Märkte pausiert
- Upshift — Hochwachstums-$ETH- und Kelp-Gewinn-Tresore pausiert
- Pendle PT- und YT-Token — betroffen
- Kräftige Strategien – möglicherweise auch Yearn und LayerZero
Die vernetzte Natur der liquiden Restaking-Infrastruktur von DeFi bedeutete, dass ein kompromittierter Vermögenswert sofort in jedem Protokoll verbreitet war, das rsETH als Sicherheit akzeptierte oder mit den Tresoren von KelpDAO integriert war.
Stand der Dinge
Aave bestätigte, dass rsETH auf dem Ethereum-Mainnet weiterhin vollständig gedeckt ist und die Exposition gegenüber dem Vorfall begrenzt ist. Die WETH-Reserven bleiben auf Ethereum, Arbitrum, Base, Mantle und Linea eingefroren, während das Team Informationen validiert und die Lösungsoptionen prüft.
Bitget bestätigte , dass es die Lage genau beobachtet und die Nutzer vor erhöhter Volatilität verwandter Token warnte.
KelpDAO teilte mit, dass es mit LayerZero, Unichain, Auditoren und Sicherheitsexperten an einer Ursachenanalyse arbeitet. Die Ermittlungen laufen noch.
Die kritische Linie, die niemand überschreiten kann
OneKey-Gründer Yishi legte das Recovery-Framework dar. Seine Prioritätenliste beginnt damit, mit dem Angreifer ein Kopfgeld von 10 bis 15 % auszuhandeln, um den Großteil der Gelder zurückzuerlangen. Falls das scheitert, ist er der Ansicht, dass der LayerZero-Ökosystemfonds den Großteil der Verluste abdecken sollte, angesichts seiner tieferen Ressourcen und des langfristigen Engagements in DeFis Glaubwürdigkeit.
KelpDAO, das er als die schwächste Partei in dieser Situation bezeichnete, sollte die Nutzer durch Token und zukünftige Einnahmen entschädigen oder in Erwägung ziehen, das gesamte Projekt an LayerZero oder einen anderen Erwerber zu verkaufen. Aber eine Grenze, so argumentierte er, könne unter keinen Umständen überschritten werden.
„WETH-Einzahler dürfen sich auf keinen Fall die Haare schneiden“, sagte Yishi. Jeder Verlust, der den WETH-Einlegern auferlegt wird, würde gleichzeitig Reprising-Kaskaden bei Morpho, Spark, Fluid und Euler auslösen, wodurch der gesamte Liquid-Restaking-Token-Sektor effektiv gesperrt und DeFi um Jahre zurückgeworfen wird.