DeFi preist Kreditrisiko binnen 48 Stunden neu ein – nach Exploit bei Kelp DAO
Bis Freitag, den 17. April, brachte das Verleihen von Stablecoins auf Aave – oft als Goldstandard im DeFi-Sektor bezeichnet – 2,32% APY. Der Overnight-Leitzins der US-Notenbank lag bei 3,64%. Damit behandelte der Markt einen unregulierten Open-Source-Smart-Contract faktisch als kreditwürdiger als US-Staatsrisiko. Innerhalb von 48 Stunden war diese Annahme vom Tisch – und das in Echtzeit, ohne Regulator, Abschlussprüfer oder Kommentator.
Vor dem Wochenende wirkte die Rendite-Hierarchie US-Dollar-naher Kreditoptionen widersprüchlich: US-Treasury overnight 3,64%. Die im Februar mit BBB bewertete, investmentgrade Bitcoin-besicherte ABS-Senior-Tranche von Ledn 6,84%. Strategy's STRC perpetual preferred 11,50%. US-Kreditkarten rund 21% bei einer Ausfallquote von 4%. Aave lag deutlich darunter bei 2,32%. Irgendetwas musste sich anpassen.
Schon Anfang des Jahres hatte Luca Prosperi argumentiert, dass DeFi-Stablecoin-Sätze einen Aufschlag von 250–400 Basispunkten auf den risikofreien Satz tragen müssten – also 6,15–7,76%. Der Bericht der Bank of Canada vom 2. April vertrat die Gegenposition und verwies auf Aaves Quote notleidender Kredite von 0,00% als Hinweis, dass DeFi-Architektur durch harte Besicherung und preisbasierte Durchsetzung kreditausfallfreies Lending ermögliche.
Die zentrale Frage lautete: Hat DeFi Kreditrisiko tatsächlich gelöst – oder hat der Markt schlicht aufgehört, es zu bepreisen? Das Wochenende lieferte die Antwort.
Am 18. April nutzte ein Angreifer Kelp DAO's LayerZero-basierten Cross-Chain-Bridge aus und mintete rund 116.500 unbesicherte rsETH-Token – etwa 18% des Umlaufs, im Gegenwert von rund 292 Mio. US-Dollar. Diese synthetischen Token wurden bei Aave als Sicherheit hinterlegt. Gegen Kollateral, das im entscheidenden Moment nicht existierte, lieh sich der Angreifer schätzungsweise 190–230 Mio. US-Dollar an realen Assets.
Aaves Incident-Report hält fest, dass das Protokoll wie vorgesehen funktionierte; die Lücke sei strukturell, nicht technisch. Kelp und LayerZero weisen sich seither öffentlich gegenseitig die Schuld an der 1/1-Validator-Konfiguration zu, die den Exploit trivial machte.
Die Ansteckung folgte sofort. Interoperabilität gehört zum DeFi-Design, und "Looping" – auf einer Plattform zu leihen und die Erlöse auf einer anderen erneut als Sicherheit zu hinterlegen – sorgt dafür, dass ein Treffer bei Aave auch die darauf aufbauenden Strukturen trifft. Rund 20% des historischen Borrow-Volumens von Aave stammt aus rekursiver Hebelung.
Innerhalb von 48 Stunden verzeichnete Aave Nettoabflüsse von 6–10 Mrd. US-Dollar. Die Auslastung der WETH-, USDT- und USDC-Pools erreichte 100%. Einlagen ließen sich nicht abziehen, Borrower kamen nicht an Stablecoin-Liquidität. Blockierte Nutzer nahmen zusätzlich rund 300 Mio. US-Dollar auf, besichert durch ihre eigenen festhängenden Stablecoin-Deposits bei 75% LTV – häufig mit Verlust –, um überhaupt liquide Mittel zu erhalten.
Die Zinsen reagierten entsprechend. Aaves Stablecoin-Deposit-APYs stiegen von 3–6% vor dem Exploit auf 13,4% innerhalb von zwei Tagen. Das USDC-Vault von Morpho, das das Konsumentenkreditprodukt von Coinbase speist, sprang von 4,4% APR am 18. April auf 10,81% am Folgetag, als sich der Liquiditätsdruck ausbreitete. Das gesamte DeFi-TVL über die Top-20-Chains sank um mehr als 13 Mrd. US-Dollar.
Ein Punkt bleibt dabei oft unterbelichtet, ist für Allokatoren aber entscheidend: In einem DeFi-Protokoll gibt es kein Insolvenzrecht. Wer zuerst abzieht, behält alles. Wer zu spät kommt, verliert – und kann überproportional an Verlusten hängenbleiben. Regulierte Kreditgeber sind rechtlich verpflichtet, den Betrieb zu stoppen, sobald sie erkennen, dass Verbindlichkeiten nicht gedeckt sind; Insolvenzgerichte können zudem unfaire Begünstigungen rückabwickeln. Die Abwicklungen von Celsius, BlockFi und FTX waren mühsam, aber Gläubiger erhielten Vermögenswerte zurück, und Verantwortliche standen vor Gericht.
In DeFi gibt es kein Verfahren, kein Gericht, keine Recovery, keine Instanz der Rechenschaft. Das hat direkte Folgen für das Risikobudget: Wer den Gesamtschaden abschätzen kann, aber nicht prognostizieren kann, wie er verteilt wird, kann das eigene Exposure nicht zuverlässig bestimmen. Es kann null sein – oder alles. Entscheidend ist die Geschwindigkeit der eigenen und der benachbarten Marktteilnehmer.
DeFi wird nicht verschwinden. Die Architektur hat realen Nutzen, und erlaubnisfreie Märkte existieren seit jeher – über alle Assetklassen und Epochen hinweg. Risikofrei waren sie nie, und sie trugen stets eine Prämie gegenüber regulierten Alternativen. Die 48 Stunden nach dem Vorfall vom 17. April haben den Markt daran erinnert, dass diese Regel auch onchain gilt.
Institutionelle Allokatoren, die ihre DeFi-Quote für das kommende Jahr dimensionieren, sollten das Signal ernst nehmen: Die 2,32% Aave-APR vor dem Wochenende spiegelten das zugrunde liegende Risiko nicht wider. Der Markt hat nachjustiert. Wo sich DeFi-Renditen einpendeln, entscheidet nun der Markt – die Fehlbewertung ist vorbei.
