LayerZero verpflichtet $23M zur Wiederherstellungsfazilität des Kelp-DAO-Exploit

LayerZero sagte 10,000 ETH (ungefähr $23 Million) zu, um die DeFi United Rescue-Koalition nach dem $292 Million Kelp DAO-Exploit zu unterstützen, und verpflichtete 5,000 ETH direkt an den Wiederherstellungsfonds sowie weitere 5,000 ETH an Aave, während zusätzlich Unterstützung für die GHO-Liquidität zugesagt wurde. Das Commitment erfolgte fünf Tage, nachdem konkurrierende Plattformen und Einheiten bereits angekündigt hatten, große Beiträge zu der Wiederherstellungsmaßnahme zu leisten. DeFi United, gebildet als Rettungskoalition, hat seitdem einen technischen Wiederherstellungsplan veröffentlicht, der auf gestaffelten ETH-Einzahlungen in Kelp’s Lockbox-Vertragslogik und der Liquidation der verbleibenden Positionen des Angreifers basiert.

Der $292 Million-Exploit: Mechanik und Auswirkungen

Am 18. April 2026 stahlen Angreifer $292 Million aus Kelp DAO, indem sie seiner Brücke gefälschte Daten zuführten, um eine echte Transaktion nachzuahmen. Kelp stoppte weitere Versuche 46 Minuten später, aber das System hatte bereits die erste 116,500 rsETH in einer einzigen Transaktion freigegeben. LayerZero machte TraderTraitor verantwortlich, eine Untereinheit der Lazarus-Gruppe aus Nordkorea, die mit einem weiteren $285 Million-Hack am 1. April 2026 in Verbindung gebracht wurde. Zusammen entleerte die Lazarus-Gruppe in nur 18 Tagen über $575 Million aus DeFi, und zwar mit zwei unterschiedlichen Angriffsmethoden.

Anstatt die gestohlenen Tokens auf dem offenen Markt abzuladen, deponierte der Angreifer ungefähr 90,000 rsETH in Aave und lieh ungefähr $190 million im Wert von echtem ETH und anderen Assets aus, wodurch Aave mit uneinbringlichen Forderungen zurückblieb, die das Protokoll nicht beheben konnte. Der Gesamtwert, der bei Aave gesperrt war (TVL), sank um ungefähr $13 billion, von $32 billion auf 20.3 Milliarden US-Dollar, innerhalb weniger Tage, und Nutzer konnten USDC oder USDT nicht mehr abziehen, da die Liquidität erschöpft war.

Rechenschaftspflicht und LayerZeros verzögerte Reaktion

Die Schuld für den Exploit wurde sowohl auf Kelp DAO als auch auf LayerZero gelenkt. Kelp DAO hatte eine schwache 1-of-1-Verifizierer-Einrichtung, wodurch es ein einziger Punkt des Versagens war, da nur ein einziger LayerZero-Verifizierer Nachrichten validieren konnte. Während LayerZero warnte, dass Multi-Verifizierer-Optionen sicherer seien, erklärte Kelp, dass die standardmäßig verwendete Einrichtung die von LayerZero beschriebene sei.

David Schwartz, Ripple CTO Emeritus, äußerte Bedenken gegen LayerZeros Erklärung und verwies dabei auf frühere Kommentare von LayerZero-CEO Bryan Pellegrino, dass keine Anwendung nur das LayerZero Distributed Validator Network (DVN) nutze—und bezeichnete diese Aussagen als falsch. Nutzer von X reagierten aggressiv: Viele bezeichneten LayerZero als verantwortlich für den Vorfall und kritisierten das Unternehmen dafür, Aave nicht sofort Hilfe gespendet zu haben, während andere Einheiten große Schecks überwiesen.

LayerZeros fünftägige Verzögerung bei der Zusage von Geldern geschah erst, nachdem der Wiederherstellungsfonds insgesamt $300 million in Zusagen überschritten hatte. Consensys und Joe Lubin sagten 30,000 ETH zu, und Mantle gewährte noch vor dem Handeln von LayerZero ein 30,000 ETH-Darlehen zu niedrigen Zinsen. Stani Kulechov (Aave founder) postete auf X und sagte 5,000 ETH zu, während Kelp 2,000 ETH beisteuerte—gerade bevor LayerZeros Zusage erfolgte.

DeFi United: Koalitionsstruktur und Wiederherstellungsplan

DeFi United ist die Rettungskoalition, die gegründet wurde, um Aave nach den Angriffen zu unterstützen. Berichten zufolge schlossen sich 14 Einheiten an und leisteten Zuschüsse, Einlagen und Kreditlinien, um Aave-Nutzer zu retten.

Zusagen an DeFi United

Der Wiederherstellungsplan hat zwei Hauptbestandteile. Erstens werden Unterstützer ihre zugesagten ETH langsam in rsETH umwandeln und in die Kelp DAO-Bridge einzahlen. Zweitens werden sie die verbleibenden Positionen des Angreifers auf Aave und Compound über spezielle Verfahren liquidieren, um zusätzliche Mittel zurückzugewinnen. Arbitrum hat außerdem 30,766 ETH aus der Wallet des Angreifers eingefroren, sodass die meisten der fehlenden Gelder wiederhergestellt werden, wenn die Governance zustimmt.

Systemische Auswirkungen auf DeFi

Laut Galaxy Research verlor DeFi in nur 20 Tagen mehr als $605 million über 12 oder mehr Protokolle hinweg. Anwendungen, die auf LayerZero aufbauen, müssen jetzt auf eine stärkere Multi-Verifizierer-Konfiguration upgraden, da LayerZero nun jede Anwendung zurückweist, die einen 1-of-1-Verifizierer verwendet.

Während DeFi nach Prinzipien arbeitet, bei denen keine einzelne Gruppe das System kontrolliert, zeigte die Wiederherstellungsinitiative eine Abhängigkeit von zentralisierten Machtbefugnissen: Arbitrum genehmigte Notfallmaßnahmen, Circle fror Wallets ein, und Aave drängte Governance-Abstimmungen. Die Frage, die bleibt, ist, ob das System bewiesen hat, dass es sich selbst wiederherstellen kann, oder ob es nur überlebt hat, weil zentrale Akteure eingegriffen haben. Die Antwort hängt davon ab, ob Protokolle ihre Systeme aktualisieren, bevor der nächste eintreffende Angriff erfolgt.