Kelp DAO wechselt zu Chainlink nach 292-Mio.-Hack

292 Millionen Dollar, ein einziger Verifikationsknoten und eine Entscheidung, die kein anderes Protokoll zuerst treffen wollte. Am 18. April 2026 leerte ein Angreifer die Bridge von Kelp DAO, indem er eine einzige Cross-Chain-Nachricht auf LayerZero fälschte und dabei 116.500 rsETH abzog, rund 18 % des gesamten Token-Angebots. Wochen später folgte der entscheidende Schritt: Kelp migrierte rsETH von LayerZero zu Chainlink. Das ist keine technische Randnotiz. Es betrifft die Art und Weise, wie ein Großteil der DeFi-Infrastruktur ihre Chains zusammenhält. Die genaue Chronologie des Angriffs findet sich in unserem ursprünglichen Analyse-Bericht; hier geht es darum, was strukturell gebrochen war und was sich seitdem geändert hat.

Wie leert man eine Bridge, ohne den Code anzufassen?

Der Vertrag wies keinen Bug auf. Die Schwachstelle lag woanders. Kelp nutzte ein Decentralized Verifier Network, das als „1-of-1“ konfiguriert war: Ein einziger Verifikator entschied, ob eine eingehende Nachricht von einer anderen Chain authentisch war. Es genügte, diesen einen Knoten zu überzeugen. Die Angreifer, die laut Chainalysis der nordkoreanischen Lazarus-Gruppe zugerechnet werden, verschafften sich Zugang zur RPC-Liste des Verifikators, kompromittierten zwei Knoten und ersetzten die laufenden Binärdateien, während ein DDoS-Angriff externe Knoten zum Schweigen brachte. Das Ergebnis: Der Kelp-Adapter auf Ethereum gab echte rsETH gegen einen „Burn“ frei, der nie stattgefunden hatte, und jede Transaktion sah on-chain vollkommen legitim aus.

Earlier today we identified suspicious cross-chain activity involving rsETH. We have paused rsETH contracts across mainnet and several L2s while we investigate.

We are working with @LayerZero_Core, @unichain, our auditors and top security experts on RCA.

We will keep you…

, Kelp (@KelpDAO) April 18, 2026

Zwei weitere gefälschte Nachrichten über mehr als 100 Millionen Dollar waren bereits durchgegangen, bevor das Notfall-Multisig nach 46 Minuten die Pause-Funktion auslösen konnte. Den wachsenden Einfluss von Pjöngjang auf die Angriffe des Jahres 2026 haben wir in einer gesonderten Recherche beleuchtet.

Warum war das ein Problem für alle, nicht nur für Kelp?

Hier liegt der unbequeme Kern. Kelp argumentierte, die Single-Verifier-Konfiguration sei keine leichtfertige Abkürzung gewesen, sondern der dokumentierte Standard in den LayerZero-Leitlinien. LayerZero entgegnete, diese Entscheidung liege auf Anwendungsebene und falle damit außerhalb des eigenen Bug-Bounty-Rahmens. Die Datenlage spricht jedoch eine klare Sprache: Laut On-Chain-Konfigurationen von LayerZero (Mai 2026) liefen zum Zeitpunkt des Angriffs fast die Hälfte aller aktiven LayerZero-Applikationen nach demselben Schema. Ein einziger Ausfallpunkt, dutzendfach repliziert, als Normalzustand vermarktet. Nach dem Exploit untersagte LayerZero 1-of-1-Konfigurationen und schrieb die Migration zu Multi-Verifier-Setups vor. Das bestätigt: Das Risiko war kein Einzelunfall, es war Architektur, wie wir in unserem Beitrag über die strukturelle Fragilität der DeFi dargelegt hatten.

Wohin sind die Gelder geflossen, und wie hat Kelp reagiert?

Die Reaktion der Branche war schneller als jede Aufsichtsbehörde. Fünf Tage nach dem Angriff entstand DeFi United, ein koordinierter Recovery-Fonds: Aave-Gründer Stani Kulechov stellte laut Projektmitteilung 5.000 ETH aus eigenen Mitteln bereit, Lido und EtherFi steuerten ihren Anteil bei. Der Fonds sammelte nach Angaben des Projekts 327,95 Millionen Dollar, etwa das Vierfache des benötigten Betrags, und ermöglichte die Rückgewinnung von über 95 % der rsETH. Auf technischer Ebene vollzog Kelp den Bruch: rsETH wechselte vom OFT-Standard von LayerZero zum Cross-Chain Interoperability Protocol von Chainlink (CCIP), das Nachrichten mit mehreren Knoten statt mit einem einzigen validiert. Die vollständige technische Rekonstruktion des Angriffs findet sich im Bericht von Chainalysis.

Inside the KelpDAO Bridge Exploit

Here's what we know about the KelpDAO Exploit, what the on-chain evidence shows, and why this class of exploit requires a different kind of monitoring.

ChainalysisChainalysis Team

Was hat Europa damit zu tun?

Einiges. Am 2. Mai zitierte die EZB den Kelp-Exploit ausdrücklich als Argument für eine prudentielle Aufsicht über DeFi-Assets, im Rahmen der MiCA-Überprüfung 2026. EZB-Präsidentin Christine Lagarde sprach von systemischer Stabilität, diesmal mit konkreten Zahlen im Rücken: ein Loch von 292 Millionen Dollar, ein Bank-Run von über 5 Milliarden Dollar auf Aave in den Stunden nach dem Angriff und hunderte Millionen an blockierten Schulden, entstanden durch gestohlene rsETH, die kurz vor dem Preiseinbruch als Sicherheit hinterlegt worden waren.

Wer in Frankfurt nach einem Anlass suchte, die DeFi-Regulierung zu verschärfen, hat ihn durch Kelp geliefert bekommen. Der Zusammenhang zwischen Kapital, Komposabilität und systemischem Risiko ist derselbe, den wir in unserer DeFi-2026-Analyse skizziert hatten. Die operative Lehre ist eindeutig: Sobald der Token eines Protokolls unmittelbar als Sicherheit auf einem anderen dient, bleibt der schwächste Punkt nie lange isoliert.