Nordkoreanische Hacker erbeuten 290 Millionen Dollar bei KelpDAO – größter Krypto-Raub des Jahres 2026

Der größte Krypto-Raub des Jahres

Am 18. April 2026 erbeuteten Angreifer Kryptowährungen im Wert von rund 290 Millionen Dollar von KelpDAO, einem auf dem Ethereum-Netzwerk aufgebauten DeFi-Protokoll. Damit war es der größte Diebstahl digitaler Vermögenswerte in diesem Jahr. LayerZero Labs, der Anbieter der Cross-Chain-Infrastruktur, der dabei zwischen die Fronten geriet, machte TraderTraitor für den Angriff verantwortlich, eine Spezialeinheit innerhalb der nordkoreanischen Lazarus Group. Das Unternehmen verwies auf vorläufige technische Indikatoren, die auf eine hochentwickelte, staatlich unterstützte Operation hindeuteten. Der Raub ereignete sich nur wenige Wochen, nachdem dieselben mutmaßlichen Akteure dem Drift Protocol 285 Millionen Dollar entwendet hatten. Damit stieg die Beute nordkoreanischer Hacker allein im April auf mehr als 575 Millionen Dollar.

Bei dem Angriff hatten es die Täter auf rsETH abgesehen, einen von KelpDAO ausgegebenen Liquid-Restaking-Token. Er repräsentiert gestaktes Ethereum, das Erträge abwirft und zugleich in anderen dezentralen Anwendungen genutzt werden kann. Die Diebe nutzten Schwachstellen im Cross-Chain-Verifizierungsprozess aus und entwendeten 116.500 rsETH-Token im Wert von rund 293 Millionen Dollar. Teile der Beute wuschen sie anschließend über Tornado Cash, einen Dienst zur Verschleierung von Transaktionsspuren bei Kryptowährungen. Ein Gremium der Vereinten Nationen schätzte zuvor, dass Nordkorea seit 2017 Kryptowährungen im Wert von mehr als drei Milliarden Dollar gestohlen hat. Die illegalen Erlöse sollen dazu beitragen, das Atomwaffenprogramm des Landes zu finanzieren.

Der Vorfall ist mehr als ein isolierter Kriminalfall. Sicherheitsexperten sehen darin Anzeichen für eine zunehmend intensive Kampagne Pjöngjangs gegen das Ökosystem der dezentralen Finanzwirtschaft. Zugleich legt der Angriff grundlegende Schwachstellen offen, die sich aus der Funktionsweise von Cross-Chain-Bridges und Verifizierungsmechanismen ergeben. Der Diebstahl hat die Kryptowährungsbranche erschüttert: Der große Kreditgeber Aave fror Märkte ein, und aus betroffenen Protokollen wurden Vermögenswerte in Milliardenhöhe abgezogen.

Wie der Cross-Chain-Angriff funktionierte

KelpDAO ist ein Liquid-Restaking-Protokoll, über das Nutzer Ethereum einzahlen und dafür rsETH-Token erhalten. Diese Derivat-Token repräsentieren die zugrunde liegenden gestakten Vermögenswerte und erzielen über EigenLayer, eine Restaking-Infrastruktur auf Ethereum, weiterhin Erträge. Über Interoperabilitätsschichten wie LayerZero kann rsETH zwischen verschiedenen Blockchain-Netzwerken übertragen werden. Das erhöht die Flexibilität, vergrößert aber auch die potenzielle Angriffsfläche. Diese Cross-Chain-Funktion wurde zum Einfallstor für den größten Krypto-Angriff dieses Jahres.

Die Angreifer nahmen das Decentralized Verifier Network (DVN) ins Visier, das Nachrichten zwischen verschiedenen Blockchains überprüft. Statt eine Schwachstelle im Smart-Contract-Code von KelpDAO selbst auszunutzen, manipulierten die Hacker die Infrastruktur, auf der diese Prüfungen beruhten. Sie kompromittierten bestimmte Remote-Procedure-Call-Knoten (RPC-Knoten). Diese dienen als Kommunikationsschnittstellen, über die Anwendungen Blockchain-Daten abrufen können. In die Verifizierungsschicht schleusten die Angreifer gefälschte Daten ein.

Um ihren Angriff zu verstärken, starteten die Täter zugleich Distributed-Denial-of-Service-Angriffe gegen legitime RPC-Knoten. Die massiven Angriffe beeinträchtigten die Verfügbarkeit vertrauenswürdiger Datenquellen und zwangen das System, sich auf die kompromittierten Knoten zu stützen, die falsche Informationen lieferten. Die Angreifer vergifteten damit den Validierungsprozess: Betrügerische Cross-Chain-Nachrichten wurden als legitim akzeptiert, obwohl die zugrunde liegenden Transaktionen auf der Blockchain nie stattgefunden hatten.

Eine entscheidende Schwachstelle machte diese Täuschung möglich. KelpDAO nutzte für seine Cross-Chain-Transaktionen eine Konfiguration mit nur einem DVN. Damit prüfte nur ein Verifizierer die Gültigkeit der Nachrichten, statt einen Konsens mehrerer unabhängiger Prüfer zu verlangen. LayerZero zufolge schuf diese Konfiguration einen einzelnen Ausfallpunkt, sodass die gefälschte Nachricht ohne zusätzliche Prüfung durchging. Die Angreifer verwendeten eine eigens entwickelte Payload, um eine Nachricht an das DVN zu fälschen und dabei möglichst wenige Warnsignale auszulösen. So konnten sie rsETH-Token unbefugt auf Wallets übertragen, die sie kontrollierten.

LayerZero und KelpDAO schieben sich gegenseitig die Verantwortung zu

Nach dem Raub kam es zwischen LayerZero und KelpDAO zu einem öffentlichen Streit über die Verantwortung für die Sicherheitslücke. LayerZero beharrt darauf, dass der Vorfall allein auf KelpDAOs Entscheidung zurückzuführen sei, trotz der Empfehlung, mehrere unabhängige DVNs einzusetzen, mit nur einem Verifizierer zu arbeiten. Das Unternehmen betonte, KelpDAO bereits zuvor über bewährte Verfahren zur Diversifizierung der DVNs informiert zu haben. Eine angemessen abgesicherte Konfiguration, die einen Konsens mehrerer Verifizierer voraussetzt, hätte den Angriff unwirksam gemacht.

LayerZero veröffentlichte eine ausführliche technische Analyse der RPC-Spoofing-Methode und erklärte, es gebe keine Ansteckungsgefahr für andere Cross-Chain-Vermögenswerte oder Anwendungen mit abweichenden Konfigurationen. Das Unternehmen kündigte an, künftig keine Nachrichten mehr für Anwendungen mit nur einem Verifizierer zu signieren, um ähnliche Vorfälle zu verhindern. Als konkrete Angreifergruppe nannte LayerZero TraderTraitor, eine Untergruppe der Lazarus Group, die für Angriffe auf Kryptowährungsplattformen bekannt ist.

KelpDAO wies diese Darstellung zurück. Das Protokoll erklärte, seit Januar 2024 die Infrastruktur von LayerZero zu nutzen und dabei stets in engem Austausch mit dessen Team gestanden zu haben. Laut KelpDAO kamen Fragen zur DVN-Konfiguration im Zuge der Erweiterung auf Layer-2-Netzwerke auf. Damals seien die Standardeinstellungen ausdrücklich als geeignet bestätigt worden. Das Protokoll argumentiert, LayerZeros Standardeinrichtung habe die anfällige Konfiguration begünstigt. Damit stellt es infrage, ob Nutzer die volle Verantwortung für Sicherheitseinstellungen tragen sollten, die ihnen als Standardoptionen präsentiert wurden.

Mit einer Konfiguration, die nur einen einzelnen Ausfallpunkt hatte, gab es keinen unabhängigen Verifizierer, der eine gefälschte Nachricht hätte erkennen und zurückweisen können. LayerZero und andere externe Parteien hatten KelpDAO zuvor über bewährte Verfahren zur Diversifizierung der DVNs informiert. Trotz dieser Empfehlungen entschied sich KelpDAO für eine DVN-Konfiguration mit nur einem von einem Verifizierer.

Sicherheitsexperten haben sich in die Debatte eingeschaltet. Ihrer Ansicht nach ist es ein grundlegender Designfehler dezentraler Systeme, wenn deren Sicherheit davon abhängt, dass Nutzer Dokumentationen lesen und manuell sicherere Optionen auswählen. David Schwed, Chief Operating Officer beim Blockchain-Sicherheitsunternehmen SVRN, erklärte, eine als unsicher erkannte Konfiguration dürfe gar nicht als verfügbare Option angeboten werden. Darin zeigt sich ein grundsätzlicher Konflikt im Web3-Ökosystem: zwischen dem Ideal der Dezentralisierung und dem praktischen Bedarf an sicheren Standardeinstellungen.

Kettenreaktion in der dezentralen Finanzwirtschaft

Die Folgen des Diebstahls gingen weit über KelpDAO hinaus und verdeutlichten, wie eng moderne DeFi-Protokolle miteinander verflochten sind. Da rsETH auf mehreren Kreditplattformen als Sicherheit dient, löste der Angriff innerhalb weniger Stunden ein systemisches Risiko aus, das sich durch das gesamte Ökosystem ausbreitete. Bei Aave, einem der größten dezentralen Kreditprotokolle, sank der gesperrte Gesamtwert um fast acht Milliarden Dollar, als Anleger in großer Zahl Vermögenswerte abzogen. Um weitere Risiken zu begrenzen, fror das Protokoll die rsETH-Märkte auf Ethereum, Arbitrum, Base, Mantle und Linea ein.

Die Angreifer bewiesen ausgefeilte Finanzkenntnisse: Sie hinterlegten gestohlene rsETH bei Aave v3 als Sicherheit und liehen sich Wrapped Ether. Dadurch entstanden auf der Plattform Schulden in Höhe von rund 195 Millionen Dollar. Als Nutzer in der Sorge vor möglichen Verlusten Vermögenswerte abzogen, waren die Kreditpools von Aave v3 vollständig ausgelastet. Dadurch waren Stablecoins im Wert von mehr als 5,1 Milliarden Dollar vorübergehend nicht zugänglich. Auch die Protokolle Compound und Euler meldeten Auswirkungen des Vorfalls, ergriffen jedoch Notfallmaßnahmen, um eine weitere Ausbreitung zu begrenzen.

Cardano-Gründer Charles Hoskinson analysierte den Angriff in einem Livestream und unterschied zwischen dem ursprünglichen Diebstahl und den anschließenden Folgen für die Kreditmärkte. Neuartig sei nicht die Fälschung der Bridge selbst gewesen, sondern die Verwendung des gestohlenen rsETH als Sicherheit, um liquide Vermögenswerte zu leihen. So sei aus einem einfachen Diebstahl eine Bilanzkrise für mindestens neun Protokolle geworden. Dieser zweite Angriffsweg machte aus vergifteten Sicherheiten eine Waffe gegen das gesamte DeFi-Ökosystem.

Die Märkte reagierten heftig auf die Nachricht. Innerhalb der ersten 24 Stunden schwankte der rsETH-Token zwischen 1.600 und 2.500 Dollar, als Liquiditätsanbieter ihre Unterstützung zurückzogen. Der gesperrte Gesamtwert im DeFi-Bereich sank in den 48 Stunden nach dem Vorfall um rund 13 Milliarden Dollar. Dem Security Council von Arbitrum gelang es, etwa 30.766 ETH im Wert von 71 Millionen Dollar einzufrieren. Das entsprach rund einem Viertel der Beute; der Großteil blieb jedoch unter der Kontrolle der Angreifer.

Lazarus Group und staatlich unterstützter Diebstahl

Die Zuschreibung an die nordkoreanische Lazarus Group fügt sich in ein seit Langem bekanntes Muster staatlich unterstützter Kryptowährungsdiebstähle ein. Damit sollen internationale Sanktionen umgangen und Waffenprogramme finanziert werden. Die für diesen Angriff konkret benannte Untergruppe TraderTraitor wird mit mehreren großen Raubzügen der vergangenen Jahre in Verbindung gebracht. Dazu zählt der Diebstahl von 1,5 Milliarden Dollar von Bybit Anfang 2026, der als größter Krypto-Raub der Geschichte gilt. UN-Beobachter haben dokumentiert, wie Pjöngjang solche illegalen Erlöse direkt in die Entwicklung von Atomwaffen und ballistischen Raketen lenkt.

Sicherheitsforscher stellen fest, dass sich nordkoreanische Cyberoperationen von opportunistischen Angriffen auf Kryptobörsen zu ausgeklügelten, langfristig angelegten Infiltrationen entwickelt haben, die auf die grundlegende Infrastruktur der dezentralen Finanzwirtschaft zielen. Alexander Urbelis, Chief Information Security Officer bei ENS Labs, bezeichnete die Vorfälle nicht als Einzelfälle, sondern als Teil einer anhaltenden Serie von Operationen. Gruppen wie Lazarus würden nicht bloß mit mehr Geld abziehen, sondern auch mit mehr Fähigkeiten: Sie nutzten die erbeuteten Ressourcen, um ihre Werkzeuge auszubauen, ihre Methoden zu verfeinern und in künftige Kampagnen zu investieren.

Diese Umgebungen werden nicht von Angreifern getestet, die schnell zuschlagen und wieder verschwinden. Sie stehen unter dem Druck disziplinierter Gegner, die wissen, wie sich Schwachstellen in Infrastruktur, Anwendungen und Vertrauensbeziehungen miteinander verknüpfen lassen.

Die Angriffsmethode zeigt, wie sich die Zielauswahl der Lazarus Group verändert hat. Statt Schwachstellen in Smart Contracts auszunutzen oder private Schlüssel zu stehlen, konzentriert sich die Gruppe zunehmend auf Cross-Chain- und Restaking-Infrastruktur, also die technischen Verbindungen zwischen verschiedenen Blockchain-Netzwerken. Diese Schichten sind technisch komplex, verwalten oft erhebliche Vermögenswerte und lassen sich schwerer überwachen als Anwendungen auf der sichtbaren Oberfläche. Indem die Angreifer die Verifizierungsinfrastruktur statt der Anwendungslogik kompromittierten, bewiesen sie ein genaues Verständnis davon, wie dezentrale Systeme Informationen als vertrauenswürdig einstufen und überprüfen.

Henri Arslanian, Mitgründer von Nine Blocks Capital Management, zeigte sich von der Zuschreibung überzeugt. Keine andere Gruppe weltweit verfüge über das nötige Fachwissen und die Ressourcen für einen solchen Hack, erklärte er. Die technische Raffinesse und die operative Sicherheit beim Angriff auf KelpDAO sprächen ausschließlich für Fähigkeiten auf staatlicher Ebene. Auch die Geldwäsche über Tornado Cash und der mehrstufige Angriff, der sowohl die Kompromittierung der Infrastruktur als auch Elemente von Social Engineering umfasste, stützten diese Einschätzung.

Verhandlungsversuche und Lehren für die Sicherheit

In einem ungewöhnlichen Schritt appellierte der Milliardär und Gründer des Tron-Netzwerks Justin Sun öffentlich an die Hacker, die gestohlenen Gelder zurückzugeben. In den sozialen Medien bot Sun an, direkt mit den Angreifern zu verhandeln. Er fragte, wie viel sie wollten, und argumentierte, es lohne sich schlicht nicht, sowohl Aave als auch KelpDAO zu opfern. Sein Eingreifen machte deutlich, wie groß das systemische Risiko des Angriffs war, zumal mit HTX verbundene Adressen, die Börse gehört Sun, Hunderte Millionen Dollar an Konten bei Aave überwiesen hatten.

Hacker von Kelp DAO, wie viel wollt ihr? Lasst uns reden. Natürlich mit Unterstützung von Kelp DAO. Es lohnt sich schlicht nicht, sowohl Aave als auch Kelp DAO zu opfern und sie wegen dieses Hacks untergehen zu lassen. 300 Millionen Dollar könnt ihr ohnehin nicht ausgeben.

Der Vorfall hat in der Blockchain-Sicherheitsgemeinschaft eine heftige Debatte über das Verhältnis von Dezentralisierung und Sicherheit ausgelöst. Charles Hoskinson zufolge lag der Fehler in der Verifizierungslogik und nicht in der Anwendungslogik. Eine Konfiguration mit drei von fünf Verifizierern statt nur einem von einem hätte die Fälschung verhindert. Diese Kritik betrifft auch das breitere Ethereum-Ökosystem, in dem komplexe Cross-Chain-Interaktionen Abhängigkeiten schaffen, die einzelne Ausfallpunkte zu größeren Risiken machen können.

Sicherheitsexperten plädieren für Zero-Trust-Architekturen, die davon ausgehen, dass es zu Kompromittierungen kommt, und in komplexen Umgebungen strenge Prüfungen durchsetzen. Zu den empfohlenen Gegenmaßnahmen zählen die Absicherung von RPC-Endpunkten, Konsensmechanismen mit mehreren Beteiligten, robuste Abwehrmaßnahmen gegen DDoS-Angriffe und Schutzschalter, die Transaktionen bei erkannten Auffälligkeiten automatisch pausieren können. Der KelpDAO-Angriff zeigt: In der dezentralen Finanzwirtschaft hängt die Stärke der gesamten Kette von den Schutzmaßnahmen an jedem einzelnen Glied ab. Bricht eines davon, breiten sich die Folgen rasch aus.

Für Neueinsteiger in die DeFi-Welt ist der Raub eine deutliche Erinnerung daran, dass Dezentralisierung keine Ja-oder-Nein-Eigenschaft ist, sondern sich aus einer Reihe von Entscheidungen über Vertrauen und Verifizierung ergibt. Während Nordkoreas Cyberoperationen sich weiterentwickeln und ausweiten, wächst der Druck auf die Branche, Sicherheit standardmäßig statt nur auf Empfehlung umzusetzen. Die sichersten Optionen sollten am einfachsten zu nutzen sein und nicht in technischer Dokumentation verborgen bleiben.

Das Wichtigste

• Nordkoreas Lazarus Group, insbesondere die Untergruppe TraderTraitor, steht im Verdacht, am 18. April 2026 rsETH-Token im Wert von rund 290 Millionen Dollar von KelpDAO gestohlen zu haben
• Der Angriff nutzte eine Konfiguration mit nur einem Verifizierer in KelZeros Cross-Chain-Infrastruktur aus. So konnten die Hacker Verifizierungsnachrichten fälschen und Gelder abziehen
• Die Angreifer kompromittierten RPC-Knoten und starteten DDoS-Angriffe, um das System zum Rückgriff auf manipulierte Datenquellen zu zwingen
• Der Raub löste eine systemische Ansteckung im DeFi-Bereich aus: Aave musste Märkte einfrieren, und aus Kreditprotokollen wurden Vermögenswerte im Wert von acht Milliarden Dollar abgezogen
• LayerZero und KelpDAO weisen sich öffentlich gegenseitig die Verantwortung zu: LayerZero verweist auf unsichere Konfigurationen, KelpDAO erklärt, die Standardeinstellungen genutzt zu haben
• Der Vorfall ist der zweite große nordkoreanische Krypto-Diebstahl im April 2026. Zuvor waren dem Drift Protocol 285 Millionen Dollar gestohlen worden
• Der Security Council von Arbitrum hat rund 71 Millionen Dollar der gestohlenen Gelder eingefroren; der Großteil wurde über Tornado Cash gewaschen
• UN-Gremien schätzen, dass Nordkorea seit 2017 Kryptowährungen im Wert von mehr als drei Milliarden Dollar gestohlen hat, um die Entwicklung von Atomwaffen zu finanzieren