KelpDAO-Exploit entzieht DeFi 14 Mrd. $ – Aave-TVL bricht ein

Der KelpDAO-Exploit hat in weniger als einer Woche rund $14,17 Milliarden aus DeFi abgezogen, und die Verluste beschränken sich nicht auf ein einzelnes Protokoll. Seit dem Vorfall am 18. April ist der gesamte gesperrte Wert über alle von DefiLlama erfassten Chains von $99,49 Milliarden auf $85,32 Milliarden gefallen -- eine Verdampfung von $14,17 Milliarden, die sich wie ein Bank Run in Zeitlupe liest. Aave wurde am härtesten getroffen. Lido erbte die Krone. Und ein Dutzend kleinerer Protokolle wurde mit in die Tiefe gerissen.

Wie der KelpDAO-Exploit ein Loch in DeFi riss

Der Auslöser war chirurgisch präzise. Ein Angreifer entwendete rund 116.500 rsETH im geschätzten Wert von $280 Millionen aus dem Liquid-Restaking-Protokoll am 18. April 2026. Das allein wäre schon schlimm genug gewesen. Systemisch wurde es durch das, was danach kam.

Die gestohlenen rsETH verschwanden nicht sofort in einem Mixer. Laut der Analyse des KelpDAO-Exploits wurden die Token als Sicherheiten über mehrere Kreditplattformen verteilt, bevor die Protokolle überhaupt merkten, dass etwas nicht stimmte. Als die rsETH-Preisfeeds und Orakle nachzogen, war der Schaden bereits als Forderungsausfall in den Bilanzen verbucht.

rsETH war kein Nischen-Nebenwert. Es war tief in die Infrastruktur eingebettet. Kreditmärkte akzeptierten es. Yield-Vaults setzten es in Loops ein. Strukturierte Produkte verpackten es. Als der Wert hinter dem Token infrage gestellt wurde, musste jede nachgelagerte Integration einfrieren, delisten oder Verluste verbuchen. So wird ein Exploit bei einem einzelnen Protokoll zur sektorweiten Kapitalflucht.

Ein Angreifer nutzte Berichten zufolge am 18. April 2026 eine Schwachstelle in KelpDAOs rsETH Liquid-Restaking-Token aus und erbeutete geschätzte $280 Millionen.

Warum hat Aave in einer Woche $8 Milliarden verloren?

Kurze Antwort: Aave war der größte einzelne Halter von rsETH-Sicherheiten und musste daher den größten Anteil der Folgeschäden tragen. In den vergangenen sieben Tagen fiel der Aave-TVL um 32,44% auf $17,038 Milliarden. In absoluten Zahlen sind das über $8 Milliarden, die aus einem einzigen Protokoll abgezogen wurden -- das entspricht 57,73% der gesamten $14,17 Milliarden, die seit dem 18. April aus DeFi abgeflossen sind.

Die Mechanik ist hässlich, aber simpel. Als rsETH-Positionen auf Aave unter Wasser gerieten und nicht sauber liquidiert werden konnten (weil der Token selbst eingefroren war oder chaotisch neu bewertet wurde), blieb das Protokoll auf Forderungsausfällen sitzen, die nicht zurückgezahlt werden können. Einleger, die ETH, Stablecoins oder Blue-Chip-Token auf Aave geparkt hatten, interessiert nicht, wessen Schuld der Ausfall ist. Sie interessiert nur, dass er existiert. Also zogen sie ab. Schnell.

Es gibt hier auch einen symbolischen Verlust. Aave hatte über weite Strecken des Zyklus an der Spitze der DeFi-TVL-Rangliste gestanden. Dieser Titel ist nun weg.

Lido übernimmt die Krone, da Liquid Staking standhält

Der neue Spitzenreiter ist Lido, der Liquid-Staking-Gigant, der seit Jahren stETH-Einlagen aufnimmt. Die Ironie schreibt sich von selbst. Ein Liquid-Restaking-Exploit hat einen Kreditmarkt lahmgelegt, und der Gewinner ist ein Liquid-Staking-Protokoll, dessen Produkt eine Schicht unterhalb dessen sitzt, was explodiert ist.

Lido ist nicht aufgestiegen, weil sich bei Lido etwas verändert hat. Es ist aufgestiegen, weil Aave drumherum implodiert ist. So sehen TVL-Rankings während eines Ansteckungsereignisses aus. Man klettert nicht. Alle anderen fallen.

Liquid Staking als Kategorie verzeichnete diese Woche sogar Zuflüsse, ebenso wie Real-World-Asset-Produkte (RWA) und ähnliche Cashflow-orientierte Vehikel. Das Kapital verlässt nicht den Kryptomarkt. Es rotiert in die Ecken von DeFi, die nicht von reflexiven Sicherheiten-Loops abhängen.

Die Ansteckungsliste: Wer wurde noch getroffen

Der Schaden breitete sich weit aus. Unter den großen Blue Chips rutschte Morpho um 9,62% ab, Ethena fiel um 7,79%, und Sky (die Umbenennung von MakerDAO) gab 9,76% in der Woche ab. Spark ging mit rund 31,6% noch tiefer ins Minus. Curve Finance verlor 11,09% und Pendle büßte 12,4% ein.

Bei den Mid-Caps war das Gemetzel schlimmer. Solv Protocol brach innerhalb von sieben Tagen um 68,09% ein. EulerDAO fiel um 51,74%. Predict Fun kam auf 51,64%. Merlinswap verlor 42,4%, Overnight Finance 40,13%, und Sentora fiel um 38,52%.

Weiter unten auf der Liste verlor Abracadabra 33,42%, Apebond 33,34% und Vectis Finance 30,69%. Re7 Labs gab 30,09% ab, Kumbaya 28,41%, Treehouse 26,46% und Dolomite 24,7%.

• Solv Protocol: minus 68,09%
• EulerDAO: minus 51,74%
• Predict Fun: minus 51,64%
• Merlinswap: minus 42,4%
• Overnight Finance: minus 40,13%
• Sentora: minus 38,52%
• Spark: minus 31,6%
• Aave: minus 32,44%

Was das über die Vernetzung von DeFi aussagt

Hier wird es schmerzhaft. Keines dieser Protokolle wurde gehackt. Nicht eines. Sie verloren Milliarden, weil sie eng mit etwas gekoppelt waren, das gehackt wurde. rsETH steckte in Vaults, sicherte Kredite ab und speiste Yield-Strategien im gesamten Sektor. Zieht man an einem Faden, löst sich der ganze Pullover auf.

Nennt es Effizienz, nennt es Fragilität. DeFi hat zwei Jahre lang mit Composability geprahlt -- der Idee, dass jedes Protokoll mit wenigen Codezeilen an jedes andere andocken kann. Composability ist ein wunderbares Feature, genau bis zu dem Moment, in dem ein einzelner exploiteter Smart Contract zu einer gemeinsamen Verbindlichkeit für jedes Protokoll wird, das ihn integriert hat.

Die Gewinner dieser Woche, Liquid Staking und RWAs, teilen ein gemeinsames Merkmal. Sie sind nicht in engen Sicherheiten-Loops übereinander gestapelt. Ihre Rendite stammt von außerhalb von DeFi -- aus Staking-Rewards oder tokenisierten Staatsanleihen --, was bedeutet, dass eine Kaskade innerhalb von DeFi sie nicht automatisch mitreißt.

Diese Unterscheidung wird nach dieser Woche wichtiger, nicht weniger.

Was passiert als Nächstes mit dem DeFi-TVL?

Die ehrliche Antwort lautet: Niemand weiß, wo der Boden ist, bis die Forderungsausfälle auf Aave verbucht, sozialisiert oder abgeschrieben werden. Bis dahin macht jeder Einleger die gleiche Rechnung. Bleiben und einen Haircut riskieren, oder gehen und von der Seitenlinie aus zusehen. Die meisten gehen.

Drei Dinge sollte man in der nächsten Woche beobachten. Erstens, ob Aaves Governance mit einem Rettungsschirm oder einem Plan zur Schuldenabsorption eingreift. Zweitens, ob sich der rsETH-Preis weit genug erholt, damit Positionen sauber liquidiert werden können. Drittens, ob die Zuflüsse in Liquid Staking und RWA weiter zunehmen -- was bestätigen würde, dass das Kapital rotiert, anstatt den Sektor komplett zu verlassen.

Wenn DeFis Antwort darauf noch mehr Composability ist, wird der nächste Exploit genau so aussehen wie dieser. Die einzig echte Lösung ist die Isolierung von Sicherheiten, damit ein einziger schlechter Token nicht fünfzehn Protokolle mit in den Abgrund reißt. Der Markt hat diese Lektion gerade auf die teuerst mögliche Weise erteilt.