In DeFi verschärft sich die Stimmung erneut spürbar. Erst der Angriff auf Drift Protocol Anfang April, bei dem rund 285 Millionen US-Dollar entwendet wurden, nun der noch größere Vorfall rund um Kelp DAO: Der jüngste Exploit traf ausgerechnet ein Protokoll aus dem Restaking- und Bridge-Umfeld, also einem Bereich, der stark mit anderen Anwendungen vernetzt ist.
In the last 19 days since April started:
• Drift lost $285M
• Kelp DAO lost $290M
• Cowswap UI was compromised
• Rhea was exploited $7.6MVery rough period for DeFi.
Seeing big dApps that have been around for years being exploited is truly scary.
— The DeFi Investor 🔎 (@TheDeFinvestor) April 19, 2026
Genau das macht die Folgen so brisant. Nach dem Angriff wurden bei mehreren Protokollen Notfallmaßnahmen aktiviert, Anleger zogen Kapital ab und besonders Aave geriet durch die Nutzung von rsETH als Sicherheit zusätzlich unter Druck.
Der Eindruck verfestigt sich damit, dass DeFi aktuell nicht nur unter Preisverlusten, sondern vor allem unter Vertrauensverlust leidet.
Krypto Prognosen bis 2030 – hier mehr erfahren
Kelp-Hack belastet DeFi: Rund 300 Millionen gestohlen
Der Auslöser war ein Angriff auf die rsETH-Bridge von Kelp DAO am 18. April. Dabei wurden laut Berichten 116.500 rsETH aus der LayerZero-basierten Bridge freigesetzt beziehungsweise unbesichert erzeugt, was einem Schaden von knapp 300 Millionen US-Dollar entsprach. Damit handelt es sich um den bislang größten DeFi-Exploit des Jahres 2026. Besonders brisant: Die gestohlenen Token blieben nicht einfach auf der Bridge liegen, sondern wurden rasch in das DeFi-Ökosystem weitergetragen.
Im Zentrum der Folgeschäden stand Aave. Dort hinterlegte der Angreifer die unbesicherten rsETH als Kollateral und lieh sich laut Berichten rund 236 Millionen US-Dollar in WETH. Aave stellte daraufhin klar, dass die eigenen Smart Contracts nicht kompromittiert worden seien, fror aber die rsETH-Märkte auf V3 und V4 ein, um eine weitere Ausbreitung zu verhindern. Im Governance-Forum hieß es zudem, die Guardian-Maßnahmen seien bereits ab 18:52 UTC angelaufen. Der Markt reagierte dennoch nervös: Auf Aave kam es zu massiven Abflüssen.
⚠️ALERT: $AAVE is now down -19% today after a $292M Kelp DAO rsETH exploit triggered a full-blown liquidity crisis.
Aave's ETH pool just hit 100% utilization. That means one thing: there's almost no ETH left to withdraw.
Here's what happened:
Attacker drained 116,500 rsETH… pic.twitter.com/t6zfxN9qDI
— Coin Bureau (@coinbureau) April 19, 2026
Damit wurde aus einem einzelnen Bridge-Vorfall sehr schnell ein systemisches DeFi-Problem. Gerade weil rsETH in mehreren Anwendungen als Sicherheit und Liquiditätsbaustein genutzt wurde, schlug der Angriff unmittelbar auf andere Protokolle durch. Der Fall zeigt damit nicht nur die Verwundbarkeit einzelner Anwendungen, sondern auch die Risiken stark verschachtelter DeFi-Strukturen, in denen ein kompromittierter Vermögenswert Kettenreaktionen auslösen kann.
Warum LayerZero nun massiv in der Kritik steht
LayerZero ist ein Omnichain-Interoperabilitätsprotokoll, das Cross-Chain-Nachrichten zwischen Blockchains überträgt. Vereinfacht gesagt: Es sorgt dafür, dass eine Ziel-Chain eine Nachricht von einer anderen Chain akzeptiert und daraufhin etwa einen gebridgten Token freigibt. In diesem Modell spielen die sogenannten DVNs, also „Decentralized Verifier Networks“, eine zentrale Rolle.
Laut offizieller LayerZero-Dokumentation prüfen diese DVNs die Integrität einer Nachricht; erst wenn die konfigurierte Schwelle erreicht ist, kann die Nachricht auf der Zielseite ausgeführt werden.
⚠️ LAYERZERO MAY HAVE ENABLED THE LARGEST DEFI EXPLOIT OF 2026
The $290M rsETH drain wasn't a surprise. It was a LayerZero design choice coming due.
Worth understanding what LayerZero actually is before assigning blame.
LayerZero is the messaging layer that moves value between… pic.twitter.com/nqOL2oBEcM
— Coin Bureau (@coinbureau) April 20, 2026
Die Kritik richtet sich nun vor allem auf das Sicherheitsdesign rund um diese DVNs. LayerZero selbst erklärte, Kelp DAO habe eine 1/1-DVN-Konfiguration genutzt. Das bedeutet praktisch: Ein einzelner Verifizierer reichte aus, damit eine Nachricht als gültig behandelt wurde. Laut LayerZero habe genau diese fehlende Redundanz dazu geführt, dass eine gefälschte Nachricht akzeptiert werden konnte. So soll bei LayerZero die Kelp-Konfiguration als entscheidender Schwachpunkt identifiziert worden sein, wobei eine härtere Multi-DVN-Absicherung den Angriff deutlich erschwert hätte.
Genau hier setzt die Kritik aus der Community an. Denn formal erlaubt LayerZero laut eigener Dokumentation flexible X-of-Y-of-N-Setups je nach Anwendung und Kanal.
Kritiker argumentieren nun, dass ein Protokoll, das von „Decentralized Verifier Networks“ spricht, eine 1-von-1-Konfiguration gar nicht erst als produktionsreife Option hätte zulassen dürfen. LayerZero weist zwar darauf hin, dass Anwendungen ihre Sicherheitskonfiguration selbst wählen. Der eigentliche Protokollkern sei nicht direkt verwundbar gewesen. Trotzdem bleibt der Vorwurf, dass ein derart schwaches Setup innerhalb des LayerZero-Designs überhaupt möglich war.
Genau deshalb steht LayerZero aktuell nicht wegen eines klassischen Smart-Contract-Bugs, sondern wegen seiner Sicherheitsarchitektur und der erlaubten Minimal-Konfiguration massiv unter Druck.
Die besten Krypto Börsen für 2026 im Vergleich
Zuletzt aktualisiert am 20. April 2026
Bitcoin Hyper: Innovative Layer-2-Lösung für Bitcoin
- Extrem niedrige Gebühren – ideal für Mikrozahlungen
- Blitzschnelle Bitcoin-Transaktionen dank Layer-2-Technologie
- Bitcoin meets DeFi: Staking, DEX, Smart Contracts
Fragen und Antworten
Sie haben eine Frage? Unser Experten-Panel beantwortet gerne Ihre Fragen.