Aave: Kelp-Hack und TVL-Einbruch – was dahintersteckt

Am 18. April 2026 kompromittierte die Lazarus-Untergruppe TraderTraitor eine LayerZero-RPC-Node. Daraufhin entwendeten die Angreifer rund 292 Millionen US-Dollar aus dem Kelp DAO-Bridge-Vertrag. Die gestohlene rsETH wurde auf dem Protokoll eingesetzt, um dagegen 196 Millionen US-Dollar wETH zu borgen.

Ein uneinbringlicher Forderungsbestand von 195 Millionen US-Dollar verblieb auf der Plattform. Der Total Value Locked (TVL) sank binnen 48 Stunden von 26,4 auf 17,7 Milliarden US-Dollar. Folglich ist dieser Sachverhalt für deutsche Anleger, die Kelp-LRT auf dem Protokoll eingesetzt haben, rechtlich bedeutsam.

Wer nach „Kelp Hack Geld zurück“, „TVL-Einbruch Ansprüche“, „Kelp DAO rsETH Verlust“ oder „MiCA Schadensersatz“ sucht, findet auf dieser Seite eine rechtliche Einordnung. Nach Darstellung der Kanzlei Rexus Recht sind genau diese Suchanfragen der Ausgangspunkt für eine strukturierte Fallprüfung. Ob und in welcher Form Ansprüche bestehen, hängt von der Vertragsgestaltung und der Gerichtszuständigkeit ab.

Wovor warnt die ESMA zum Aave-Kelp-Vorfall?

Die Europäische Wertpapier- und Marktaufsichtsbehörde (ESMA) hat den Vorfall im Rahmen ihres laufenden DeFi-Risk-Monitorings nach Art. 79 MiCAR erfasst. Die Behörde beobachtet dabei strukturelle Risiken bei Cross-Chain-Bridge-Protokollen, die über LayerZero-Relay-Infrastruktur verifizieren. Deshalb ist der Kelp-Hack ein Referenzfall für regulatorische Diskussionen über DeFi-Haftungsrahmen unter MiCA.

Nach Darstellung der ESMA zeigen sich dabei Schutzlücken. Der MiCAR-Rahmen schließt diese für dezentrale Protokolle ohne zentralen Emittenten noch nicht. Folglich stellt sich für geschädigte Anleger die Frage, ob Kelp DAO oder andere beteiligte Entitäten als verantwortliche Personen nach Art. 50 MiCAR haftbar gemacht werden können. Dennoch sind auch vertragliche Ansprüche nach deutschem Recht (§ 823 BGB) parallel prüfbar.

Welche Erlaubnislücke zeigt der Kelp-Hack bei Aave?

Kelp DAO operiert als dezentrales Protokoll ohne zentrale Rechtsstruktur und ohne MiCAR-Zulassung als Krypto-Asset-Dienstleister nach Art. 60 MiCAR. Somit fehlt ein direkt greifbarer Haftungsadressat im EU-Regulierungsrahmen. Zudem ist LayerZero als Infrastrukturanbieter bisher nicht als beaufsichtigter Dienstleister registriert. Allerdings eröffnet die Frage, ob LayerZero als technischer Dienstleister eine Sorgfaltspflicht verletzt hat, einen möglichen Anspruchsweg nach § 823 Abs. 1 BGB.

Für Nutzer, die direkt Kelp-LRT eingesetzt und infolge des Einbruchs Verluste erlitten haben, stellt sich darüber hinaus die Frage nach der Smart-Contract-Haftung. USDT- und USDC-Pools sind erschöpft, rund 5,1 Milliarden US-Dollar liegen blockiert. Deshalb ist eine vertragliche Durchsetzung von Auszahlungsansprüchen gegenüber dem Protokoll faktisch erschwert. Deshalb empfiehlt sich eine anwaltliche Prüfung, ob alternative Rechtswege – etwa über Tauschbörsen oder Depotstellen – offenstehen.

Was stellt die Behörde fest – und was nicht?

Die ESMA stellt strukturelle Risiken im DeFi-Bridge-Bereich fest und verweist auf die Notwendigkeit regulatorischer Nachschärfung. Was die Behörde dabei nicht ausspricht: Eine strafrechtliche Qualifikation der Angreifer nach § 263 StGB obliegt den Strafverfolgungsbehörden. Jedoch stärken behördliche Feststellungen entsprechende Strafanzeigen und internationale Rechtshilfeersuchen gegenüber involvierten Tauschbörsen erheblich.

Wer also nach „Aave Hack Betrug“ sucht, stellt die richtigen Fragen – trotzdem ist die juristische Einordnung entscheidend. Daher empfiehlt sich frühzeitig anwaltliche Begleitung, damit Beweise gesichert und Fristen eingehalten werden. Zudem lassen sich Walletadressen der Lazarus-Gruppe durch Blockchain-Forensik auf Handelsplattformen und Mixer zurückverfolgen.

Welche forensischen Ansatzpunkte ergeben sich beim Aave-Kelp-Vorfall?

Zunächst sind alle On-Chain-Belege zu sichern: Transaktions-Hashes der eigenen Einzahlungen in Kelp- oder Protokoll-Pools, Wallet-Adressen und Staking-Bestätigungen. Außerdem empfiehlt sich eine Screenshot-Dokumentation der Portfolioansicht zum Zeitpunkt des Schadens. Blockchain-Forensik kann darüber hinaus den Weg der entwendeten rsETH nachzeichnen – von der Kelp-Bridge bis zu Tauschbörsen. Folglich lässt sich feststellen, welche Gelder bereits gefroren wurden. Somit entsteht ein gerichtsverwertbares Beweisbild. Eine Übersicht weiterer aktueller Schadensfälle bietet kryptoschaden.de.

Außerdem sollten Anleger prüfen, ob Gelder über Zentralbörsen bewegt wurden, da dort Behörden Konten einfrieren können. Wie Blockchain-Forensik bei Krypto-Schäden methodisch eingesetzt wird, erläutert der Fachbeitrag zur Blockchain-Forensik bei Krypto-Betrug bei anwalt[.]de. Zudem lassen sich forensisch gesicherte Befunde in Rechtshilfeverfahren gegenüber US-amerikanischen Behörden verwerten, da die Lazarus-Gruppe unter OFAC-Sanktionen steht.

Was bedeutet das für Personen mit Kontakt zu Aave und Kelp DAO?

Wer LRT-Positionen auf dem Protokoll hatte und infolge des Kelp-Hacks Verluste erlitten hat, sollte zunächst alle Transaktionsdaten sichern. Außerdem empfiehlt sich, keine weiteren DeFi-Interaktionen vorzunehmen, die die Beweislage verwässern könnten. Stattdessen lohnt sich eine anwaltliche Ersteinschätzung, die die konkreten Haftungsadressaten und Rückforderungshebel identifiziert.

Darüber hinaus empfiehlt sich eine Meldung an die BaFin. Zudem lohnt sich eine Strafanzeige beim LKA oder BKA mit Bezug zur Lazarus-OFAC-Listung. Was bei der Rückforderung von Kryptowerten in solchen Fällen zu beachten ist, erklärt der Beitrag zur Rückforderung von Kryptowerten bei unerlaubten Anbietern bei anwalt[.]de. Folglich lohnt sich die Lektüre, bevor weitere Schritte eingeleitet werden.

Anna Orlowa, LL.M., Rechtsanwältin und Fachanwältin für Bank- und Kapitalmarktrecht, zertifizierte Spezialistin für Kryptowerte und Steuern