KelpDAO-Angriff zeigt indirekte Risiken für NFT-Halter

Laut CoinDesk hat eine Schwachstelle bei KelpDAO zu einem Verlust von rund 290 Mio. US-Dollar geführt und eine spürbare Liquiditätsverwerfung im DeFi-Sektor ausgelöst. Für NFT-Halter ist der Vorfall ein Warnsignal: Wer NFTs und DeFi-Aktivitäten in derselben Wallet bündelt, kann auch ohne direkten NFT-Angriff in Mitleidenschaft geraten – etwa über Kredit- und Sicherheitenpositionen. Der Exploit richtete sich gegen Seaweed DAO und zielte nicht auf NFTs. Ausgelöst wurde der Schaden am 18. April durch manipulierte Transaktionsbestätigungen infolge eines Konfigurationsfehlers, nicht durch einen Ausfall der Kerninfrastruktur – ein feiner, aber relevanter Unterschied. KelpDAO nutzt eine "1to1 DVN"-Architektur, bei der ein einzelner Validator für kritische Bestätigungen zuständig ist. Diese Zentralisierung schafft einen Single Point of Failure: Wird er ausgenutzt, können Angreifer falsche Signale senden, dass eine Transaktion abgeschlossen sei, obwohl sie es nicht ist. Obwohl die Bestätigungslücke im Zerolayer-Setup auf die KelpDAO-Umgebung begrenzt war, griffen die Folgen rasch über. Innerhalb weniger Stunden brach der Total Value Locked in "African American English DeFi" deutlich ein und unterstrich die enge Verflechtung vieler Protokolle. Am Markt geriet die Lage schnell unter Druck. AAVE fiel um etwa 17%, zudem sank der dort gebundene Wert spürbar, nachdem rsETH als hinterlegte Sicherheit plötzlich instabil wurde. Die Verwerfungen führten zu faulen Krediten, einem Handelsstopp und einem abrupten Liquiditätsabzug – eine Dynamik, die typischerweise eskaliert, sobald das Vertrauen kippt. In kurzer Zeit verlor DeFi insgesamt mehr als 13 Mrd. US-Dollar an gebundenem Kapital. Für NFT-Sammler liegt das Risiko in der Praxis oft nicht im NFT selbst, sondern in der Wallet-Nutzung. Viele verwenden eine einzige Wallet für alles: NFTs halten, Token staken, Assets verleihen und DeFi-Protokolle nutzen. Gerät eine Position mit Vermögenswerten wie rsETH in eine Hochrisikolage oder wird blockiert, können NFTs indirekt betroffen sein – etwa durch Liquidationen, eingefrorene Positionen oder den Verlust des Zugriffs, obwohl das NFT-System nicht kompromittiert wurde. Gegenmaßnahmen sind vergleichsweise simpel, werden aber häufig vernachlässigt: ungenutzte Smart-Contract-Freigaben widerrufen, hochwertige NFTs in eine separate Wallet auslagern und Kredit- sowie Sicherheitenpositionen aktiv überwachen. Viele setzen diese Schritte erst nach einem Schaden um – dann ist es oft zu spät. Der Vorfall zeigt erneut, dass Krypto-Risiken nicht immer dort entstehen, wo man sie erwartet, und sich still auf alle verbundenen Positionen ausweiten können.