Warum Aave die rsETH-Märkte nach dem Kelp-DAO-Exploit eingefroren hat

Am 18. April 2026 fror Aave die rsETH-Märkte ein, nachdem die Sicherheitslücke in der Kelp DAO-Bridge ein weit verbreitetes, mit ETH korreliertes Sicherheitengut in eine Quelle des Protokollrisikos verwandelt hatte. Die Entscheidung war kein Hinweis darauf, dass die Kreditverträge von Aave gehackt worden waren. Es handelte sich um eine Eindämmungsmaßnahme innerhalb eines viel umfassenderen DeFi-Kreditsystems , das stark auf vertrauenswürdigen Sicherheitenannahmen beruht.

Das Kernproblem lag im vorgelagerten Bereich. Laut einer nach dem Angriff veröffentlichten öffentlichen Vorfallsanalyse hat ein Angreifer über einen kompromittierten oder falsch konfigurierten Bridge-Pfad 116.500 ungedeckte rsETH im Wert von damals rund 292 Millionen US-Dollar geschaffen oder freigegeben. Diese Token wurden dann als Sicherheiten bei Kreditplattformen wie Aave verwendet, um reale Liquidität aus dem System zu leihen. Als dem Markt klar wurde, dass ein Teil des rsETH-Angebots nicht mehr zuverlässig gedeckt war, musste Aave davon ausgehen, dass den Sicherheiten dieser Kredite nicht zu trauen war.

Deshalb war das Einfrieren so wichtig. Aaves erste Aufgabe war es, Schlimmeres zu verhindern.

Was geschah am 18. April 2026?

Der Vorfall begann vor dem Aave. Erste Berichte und On-Chain-Analysen wiesen auf ein Versagen in der Cross-Chain-Infrastruktur von Kelp DAO hin, nicht auf einen Fehler in der Kreditplattform von Aave. Laut einer öffentlichen Analyse nach dem Vorfall nutzte der Angreifer gefälschte Cross-Chain-Nachrichten, um die Freigabe von rsETH zu erzwingen, das nicht in ausgabefähiger Form hätte existieren dürfen.

Anstatt die rsETH direkt an dezentrale Börsen zu verkaufen und dabei einen enormen Slippage in Kauf zu nehmen, nutzte der Angreifer sie effizienter: als Sicherheit. Dieser Ansatz ermöglichte es dem Angreifer, liquide Mittel wie WETH gegen Vermögenswerte zu leihen, deren Marktvertrauen noch nicht vollständig zusammengebrochen war.

Für Aave führte dies zur schlimmsten Art der Ansteckung. Das Protokoll hat keine Gelder verloren, weil seine Verträge nicht ordnungsgemäß funktionierten. Das Unternehmen geriet in Zahlungsschwierigkeiten, weil ein als Sicherheit akzeptierter externer Vermögenswert plötzlich unzuverlässig wurde.

Warum Aave die rsETH-Märkte eingefroren hat

Aave fror die rsETH-Märkte ein, um drei Dinge gleichzeitig zu erreichen.

Erstens wurden dadurch neue Einlagen und neue Kreditaufnahmen im Zusammenhang mit dem betroffenen Vermögenswert verhindert. Wenn ein als Sicherheit hinterlegter Vermögenswert gefährdet ist, kann das Eröffnen neuer Positionen den Verlust vervielfachen.

Zweitens verschaffte es den Risikomanagern und den Beteiligten der Unternehmensführung Zeit, um zu beurteilen, wie hoch die bereits entstandenen Forderungsausfälle waren. Bei schnelllebigen DeFi-Ereignissen sind die ersten Stunden wichtiger als eine perfekte Kommunikation. Das System muss die Belichtung stoppen, bevor es eine saubere Obduktion durchführen kann.

Drittens schützte es den gesamten Kreditmarkt davor, dass ein Ausfall von Sicherheiten zu einer umfassenden Liquiditätskrise führte. Sobald das Vertrauen schwindet, ziehen sich die Lieferanten zurück. Wenn das Protokoll den betroffenen Markt nicht schnell eindämmt, kann sich die Panik auf nicht damit zusammenhängende Reserven ausbreiten.

Diese Logik zeigte sich auch in den Aave-Governance-Updates vom 19. April 2026. LlamaRisk schrieb, dass als Vorsichtsmaßnahme im Anschluss an das Einfrieren von rsETH der Protocol Guardian auch WETH auf Core, Prime, Arbitrum, Base, Mantle und Linea eingefroren habe, um neue Kredite gegen WETH-Sicherheiten zu verhindern, solange die Situation noch überwacht werde.

Warum die Enthüllungen so groß wurden

Aaves rsETH-Belastung kam nicht aus dem Nichts. Am 9. April 2026 schlug LlamaRisk vor, die Obergrenze für das rsETH-Angebot auf Ethereum Core von 480.000 auf 530.000 zu erhöhen, und begründete dies mit der anhaltenden Nachfrage und korrelierten ETH-ähnlichen Hebelstrategien. Unter normalen Marktbedingungen kann eine solche Positionierung überschaubar erscheinen, da erwartet wird, dass sich rsETH und ETH eng beieinander bewegen.

Korreliertes Preisverhalten ist jedoch nicht dasselbe wie Infrastruktursicherheit.

Diese Unterscheidung ist die eigentliche Lehre aus dem Vorfall. Ein als Sicherheit hinterlegter Vermögenswert kann liquide, integriert und preisstabil erscheinen, birgt aber dennoch Brücken-, Präge- oder Konfigurationsrisiken außerhalb des Kreditprotokolls selbst. Wenn diese verborgene Ebene versagt, trägt der Kreditmarkt die Folgen. Deshalb hat die Debatte um das Restaking-Modell nach diesem Ereignis auch an Bedeutung gewonnen: Mehrschichtige Renditesysteme können die Fragilität verstärken, wenn die Annahmen bezüglich der Sicherheiten nicht mehr erfüllt werden.

Öffentliche Berichte in den ersten 48 Stunden ließen vermuten, dass der Angreifer Zehntausende WETH über Ethereum und Arbitrum geliehen hatte. Die Schätzungen für die mit Aave verbundenen uneinbringlichen Forderungen variierten je nach Quelle und Methodik, aber die meisten ernsthaften Diskussionen gingen davon aus, dass das Problem zum 20. April 2026 im hohen neunstelligen Bereich liegen würde.

Wer wird die Verluste tragen?

Die nächste Frage ist nicht, ob Aave betroffen war. Es geht darum, wer letztendlich zahlt.

Das Umbrella-System von Aave wurde als automatisierter Absicherungsmechanismus für uneinbringliche Forderungen konzipiert. Laut der offiziellen Dokumentation von Aave isoliert Umbrella das Risiko nach Asset und Netzwerk und kann die entsprechenden gestakten aToken verbrennen, wenn Defizite auftreten. Es handelt sich um eine stärker automatisierte Version des älteren Sicherheitsmodells des Protokolls.

Es gibt jedoch eine wichtige Einschränkung. Umbrella wird zunächst auf Ethereum eingesetzt und unterstützt dort ausgewählte Assets, darunter WETH. Das bedeutet, dass die Netzabdeckung nicht automatisch in allen Netzen, in denen Aave tätig ist, einheitlich ist. Wenn Verluste außerhalb des Geltungsbereichs des laufenden Umbrella-Einsatzes liegen, gewinnen Governance- und Treasury-Entscheidungen an Bedeutung.

Für die Nutzer bedeutet dies, dass der Stopp nicht als endgültige Lösung zu verstehen ist. Dies ist der Beginn des Lösungsprozesses. Das Protokoll muss noch das Defizit, den Ausweichpfad und die letztendliche Verteilung der Verluste auf die verfügbaren Schutzebenen bestimmen.

Was der rsETH-Freeze für DeFi bedeutet

Dieser Vorfall ist bedeutsamer als ein einzelner Token oder ein einzelnes Protokoll. Dies zeigt, warum das Risiko von DeFi nicht mehr allein auf der Ebene des Preis-Orakels und der Liquidation bewertet werden kann.

Ein Kreditprotokoll kann über ausgezeichnete Kernverträge verfügen und dennoch erheblichen Schaden erleiden, wenn es Vermögenswerte listet, deren vorgelagerte Brückenfinanzierungs- oder Emissionsannahmen schwach sind. Der rsETH-Freeze ist daher ein Fallbeispiel für das Kompositionsrisiko: Aave übernahm Risiken von einem Teil der Wertschöpfungskette, den es nicht direkt kontrollierte.

Für DeFi-Entwickler ist die Lektion eindeutig. Risikomanagement-Rahmenwerke müssen Brückensicherheit, Validierungsannahmen und die Infrastruktur der Sicherheiten als erstklassige Zulassungskriterien behandeln. Für die Nutzer ist die Lektion noch einfacher: „ETH-ähnlich“ bedeutet nicht „das gleiche Risiko wie ETH“.

Aave hat die rsETH-Märkte eingefroren, weil Warten schlimmer gewesen wäre. Der Einfrierpunkt war eine Notbremse, keine Lösung. Die eigentliche Bewährungsprobe besteht nun darin, ob die Versicherungskonstruktion, der Governance-Prozess und die Zulassungsstandards des Protokolls stark genug sind, um einen Ausfall von Sicherheiten, der seinen Ursprung woanders hat, aufzufangen. Aus diesem Grund bleibt die Marktreaktion beim AAVE-Token ein nützliches Stimmungssignal, auch wenn die Kursentwicklung allein das volle Ausmaß des Risikos nicht erklären kann.

HÄUFIG GESTELLTE FRAGEN

Wurde Aave gehackt?

Bis zum 20. April 2026 liegen keine öffentlichen Berichte vor, die darauf hindeuten, dass die Kernkreditverträge von Aave die Hauptursache waren. Auslöser war die rsETH-Sicherheitslücke und die Verwendung kompromittierter Sicherheiten innerhalb von Aave.

Warum hat Aave WETH auch auf einigen Märkten eingefroren?

In den Aave-Governance-Updates vom 19. April 2026 hieß es, WETH sei in mehreren Fällen eingefroren worden, um neue Kredite gegen WETH-Sicherheiten zu verhindern, während das Protokoll die Folgen des rsETH-Vorfalls überwachte.

Was ist ein Aave-Regenschirm?

Umbrella ist Aaves automatisierter Ausfallschutz. Es nutzt asset- und netzwerkspezifische Staking-Vaults, um Defizite auszugleichen, anstatt sich nur auf langsamere Eingriffe der Governance zu verlassen.

Bedeutet das Einfrieren von rsETH, dass die Nutzer ihre Gelder dauerhaft verloren haben?

Nicht automatisch. Ein Einfrieren ist eine Eindämmungsmaßnahme. Die Auswirkungen auf den Endnutzer hängen von der Bilanzierung uneinbringlicher Forderungen, etwaigen Rückforderungen von Kelp DAO oder verbundenen Parteien, dem Umbrella-Schutz und späteren Governance-Entscheidungen ab.

Was ist die wichtigste Lehre aus diesem Ereignis?

Das Sicherheitenrisiko bei DeFi-Finanzierungen beschränkt sich nicht nur auf Preisschwankungen. Brückendesign, Nachrichtenverifizierung und die Architektur für die Ausgabe von Vermögenswerten können genauso wichtig sein. Für einen umfassenderen Kontext ist es hilfreich, den Vorfall im Hinblick auf das gesamte DeFi-Risiko zu betrachten und nicht nur die Token-Preisentwicklung.