Aave steht zum Wochenstart im Krisenmodus. Nicht weil das Lending-Protokoll selbst gehackt wurde, sondern weil ein externer Bridge-Exploit bei Kelp direkt in die Bilanz von Aave hineingeschlagen hat. Laut dem offiziellen Incident-Report wurde am 18. April auf Kelps LayerZero-V2-Route von Unichain nach Ethereum ein gefälschtes Inbound-Paket verifiziert.
Dadurch wurden 116.500 rsETH aus dem Ethereum-Adapter freigesetzt, ohne dass auf der Quellseite ein entsprechender Burn stattfand. 89.567 dieser rsETH landeten anschließend als Sicherheit auf Aave, wo der Angreifer 82.650 WETH und 821 wstETH dagegen lieh. Aaves Smart Contracts selbst wurden dabei laut Governance-Bericht nicht kompromittiert.
Das eigentliche Problem ist nicht der Hack, sondern das collateral risk
Der entscheidende Punkt ist deshalb nicht ein Fehler im Aave-Code, sondern die Frage, wie viel von diesem externen Schaden am Ende auf Aave hängen bleibt. Wichtig ist dabei auch eine Korrektur zur oft zitierten Zahl von rund 196 Millionen Dollar Bad Debt: Der offizielle Incident-Report modelliert derzeit keine einzige feststehende Endsumme, sondern mehrere Szenarien.
Wenn die Verluste gleichmäßig über alle rsETH-Halter sozialisiert werden, läge das modellierte Bad Debt bei rund 123,7 Millionen Dollar. Wenn die Verluste dagegen nur auf L2-rsETH isoliert werden, steigt das modellierte Bad Debt auf rund 230,1 Millionen Dollar. Allein im Uniform-Szenario entfielen auf Ethereum Core WETH rund 91,8 Millionen Dollar.
Genau diese Unsicherheit macht den Fall für den Markt so problematisch. Solange Kelp keine endgültige Entscheidung zur Verlustverteilung, Rückgewinnung und Rücknahme-Mechanik getroffen hat, bleibt offen, wie groß das Loch auf Aave-Seite am Ende tatsächlich wird. Der Vorfall ist damit weniger ein klassischer Smart-Contract-Hack bei Aave als vielmehr ein Stresstest für das Modell, externe Assets als Sicherheiten in großen Shared Pools zu akzeptieren. Diese Schlussfolgerung ist eine Einordnung, sie stützt sich aber direkt auf den offiziellen Report und die darin beschriebenen offenen Variablen.
Liquidität trocknet aus und Governance versucht Zeit zu gewinnen
Aave reagierte schnell und fror rsETH sowie wrsETH über alle betroffenen Deployments hinweg ein. Danach wurde auch WETH auf Core, Prime, Arbitrum, Base, Mantle und Linea eingefroren, um zu verhindern, dass sich der Stress weiter in andere Reserven frisst. Parallel passten die Risk Stewards die Zinskurven an, um die Lage in den WETH-Märkten beherrschbar zu halten.
Trotzdem zeigt der Incident-Report, wie angespannt die Situation ist: Die WETH-Reserven auf Ethereum, Arbitrum, Base, Linea und Mantle lagen zum Zeitpunkt des Berichts bei 100 Prozent Utilization, die freien Idle Balances lagen auf jeder dieser Chains unter 20 Dollar. Das bremst Liquidationen, weil Liquidatoren im Zweifel aWETH statt frei verfügbarer WETH erhalten.
Auch die Kapitalflüsse sprechen eine klare Sprache. CoinDesk berichtete nach dem Exploit von einem Einlagenrückgang von rund 6 Milliarden Dollar bei Aave. DefiLlama zeigt aktuell noch immer eine TVL von rund 16,43 Milliarden Dollar, womit das Protokoll zwar groß bleibt, aber sichtbar unter Abzugsdruck steht. Parallel dazu reagiert die Governance bereits auf das nächste Risiko: Eine Direct-to-AIP-Initiative von gestern will die stkwaWETH-Umbrella-Staking-Tokens auf Ethereum V3 pausieren, damit potenzielle WETH-Coverage nicht vorzeitig aus dem Sicherungsmodul abfließt, solange unklar ist, ob Ethereum Core WETH am Ende einen Teil des Shortfalls tragen muss.
Der AAVE-Kurs bleibt fragil
Der Token selbst bildet diese Vertrauenskrise bereits deutlich ab. AAVE notiert aktuell bei rund 92,9 Dollar, mit einer heutigen Handelsspanne zwischen 86,9 und 95,48 Dollar. Zum Vergleich: Am 17. April lag der Schlusskurs laut CoinGecko noch bei 115,26 Dollar, am 18. April bei 101,88 Dollar.
Das heißt, der Markt hat innerhalb weniger Tage einen sehr scharfen Risikoabschlag eingepreist. Markttracker bei CoinMarketCap meldeten zudem direkt nach dem Exploit Exchange-Inflows von mehr als 355.000 AAVE im Wert von rund 32 Millionen Dollar, was auf klaren Abgabedruck hindeutet.
Damit bleibt die Lage für Aave vorerst binär. Stabilisiert sich die TVL, normalisiert sich die WETH-Utilization wieder und kommt von Kelp eine Lösung, die den tatsächlichen Shortfall für Aave begrenzt, kann sich auch der AAVE-Kurs erholen.
Bleiben die offenen Variablen dagegen ungelöst und setzt sich der Vertrauensverlust fort, droht eine zweite Abzugswelle. Die eigentliche Nachricht ist deshalb nicht, dass Aave gehackt wurde. Die eigentliche Nachricht ist, dass ein externer Bridge-Fehler ausgereicht hat, um das größte Risiko eines DeFi-Lending-Protokolls offenzulegen: die Abhängigkeit von der Qualität der Sicherheiten, die es akzeptiert.
