Warum TradFi mit einem Bein am Spielfeldrand bleibt: Lehren aus Drift- und Kelp-Hacks

Zwei bedeutende Exploits innerhalb von drei Wochen haben erneut die Fragilität der DeFi-Infrastruktur aufgedeckt. Am 2. April Das auf Solana basierende Perpetuals-Protokoll Drift wurde erschöpft Laut dem Blockchain-Analyseunternehmen Elliptic wurden rund 286 Millionen US-Dollar für einen mutmaßlichen Angriff im Zusammenhang mit der DVRK (Demokratische Volksrepublik Korea) ausgegeben. Der Angriff beinhaltete einen Social-Engineering-Trick, bei dem Angreifer Vertrauen in das Drift-Team aufbauten. Die Angreifer haben mindestens zwei der fünf Mitglieder des Sicherheitsrats von Drift dazu gebracht, spezielle Transaktionen mithilfe von Solanas Funktion „Dauerhafte Nonces“ vorab zu signieren. Im Wesentlichen mussten sie einen Blankoscheck unterschreiben, der wochen- oder monatelang gültig ist und später ausgeführt werden kann, ohne dass die Unterzeichner den wahren böswilligen Zweck kennen.

Am Samstag, den 18. April, entleerte ein Angreifer 116.500 RSETH, rund 292 Millionen US-Dollar, von der LayerZero-betriebenen Cross-Chain-Bridge von Kelp DAO, indem eine Schwäche im Cross-Chain-Messaging-Setup von Kelp ausgenutzt wurde und die Veröffentlichung von Token an eine Angreiferadresse ausgelöst wurde, die Stunden zuvor über Tornado Cash finanziert worden war.

Kelps Notfall-Multisig wurde ausgeführt Alles pausieren etwa 46 Minuten nach dem ersten Abfluss, wodurch zwei Folgeversuche blockiert wurden, die zu Verlusten von fast 100 Millionen US-Dollar geführt hätten. Aave reagierte darauf, indem es die RSETH-Märkte auf V3 und V4 einfrierte und auf potenzielle Forderungsausfälle bei nach dem Exploit eröffneten Positionen hinwies. Der AAVE-Token fiel um ~ 21%, während der TVL des Protokolls seit dem Ereignis um etwa 9 Milliarden US-Dollar gesunken ist. Zusammengenommen machen die beiden Vorfälle innerhalb eines einzigen Zeitfensters von 20 Tagen rund 578 Millionen US-Dollar an gestohlenen Vermögenswerten aus.

>> Erkunden Sie unser TVL-Dashboard

Ansteckung ist ein Lebensrisiko, kein Altlastrisiko

Für Institutionen, die versuchen, DeFi als glaubwürdigen Renditestandort zu überprüfen, bestätigen diese Ereignisse ein strukturelles Problem: Ansteckung ist immer noch ein Lebensrisiko, kein Vermächtnis. Der Vorfall mit Kelp ist besonders aufschlussreich. Ein Bridge-Exploit blieb nicht im Emissionsprotokoll enthalten; er breitete sich auf Aave aus und führte zu Forderungsausfällen gegen einen Liquid Restaking Token, der zu einer etablierten Sicherheitenanlage geworden war. Dies ist genau das Risiko des Übertragungsmechanismus, auf das Risikoausschüsse bei der Überprüfung von DeFi-Mandaten hinweisen: ein einziger Ausfallpunkt, der sich über vermeintlich unabhängige Protokolle erstreckt.

Der Fall Drift setzt eine zweite institutionelle rote Flagge. Ein staatlich verbundener Gegner, der in großem Maßstab operiert, zielt weiterhin auf DeFi-Veranstaltungsorte ab. In Bezug auf Compliance- und AML-Funktionen untermauert dies die Ansicht, dass unbefristete On-Chain-Märkte im Vergleich zu herkömmlichen Ausführungsplätzen ein erhöhtes Kontrahenten- und Sanktionsrisikoprofil aufweisen. Keiner der Vorfälle beinhaltete ein obskures Protokoll: Drift gehört zu den führenden verantwortlichen DEXs auf Solana, und RSeth ist in mehr als 20 Netzwerken im Einsatz. Die Botschaft ist konsistent: Die Sicherheitsschulden von DeFi nehmen mit jeder neuen Ebene der Zusammensetzbarkeit zu, und die bestehenden Versicherungs-, Prüfungs- und Multisig-Kontrollen müssen die Lücke erst noch schließen.

Auf die Frage, ob in den kommenden Tagen oder Wochen die Gefahr eines Kaskadeneffekts besteht, sagte Paul Frambot, CEO von Morpho, gegenüber The Big Whale: „Das zentrale ungelöste Dilemma nach dem Kelp-Exploit besteht darin, wo der Verlust letztendlich realisiert wird — ob er nun von den Mainnet-Kelp-Inhabern absorbiert wird (und damit Aave auf Ethereum trifft) oder den überbrückten Layer-2-Benutzern aufgezwungen wird, die sich für eine Brücke entschieden haben, ein brutal hartes Ergebnis, das vernichtet Stellungen und blockiert Aave-Einsätze in Optimism, Mantle und Arbitrum, was einen hartnäckigen Rechtskrieg mit Anwälten auf beiden Seiten auslöst.“

>> DeFi: Apollo investiert strategisch in Morpho

Die Sicht des Großen Wals

Die institutionelle Einführung von DeFi hat sich in Bezug auf Regulierung, Verwahrung und tokenisierte Sicherheiten weiterentwickelt. In Bezug auf systemische Risiken wurden keine Fortschritte erzielt. Solange Brücken, Orakel und Restaking-Ebenen anfällig dafür sind, dass einzelne Transaktionen auf einer neunstelligen Skala abfließen, wird die Anlageklasse Schwierigkeiten haben, vom taktischen Engagement zur Kernallokation überzugehen. Das Pause-and-Patch-Response-Modell, das an diesem Wochenende wieder bei Kelp und Aave sichtbar wurde, ist operativ kompetent, aber strategisch unzureichend für Bilanzen, die binäre Ergebnisse nicht tolerieren können.

Die aktuelle Architektur verlangt von den Instituten immer noch, Risiken abzusichern, für die sie strukturell nicht gewappnet sind: Smart-Contract-Risiken auf Protokollebene, Cross-Chain-Messaging-Risiken und geopolitische Bedrohungsakteure. Bis der Sektor standardisierte Brückensicherheit, durchsetzbare Schutzschalter und glaubwürdige Versicherungskapazitäten in großem Maßstab bietet, werden die meisten TradFi-Desks DeFi weiterhin über enge, abgegrenzte Mandate statt über eine vollständige Portfoliointegration in Anspruch nehmen.

‍