KelpDAO Hack: Lazarus-Angriff 2026 – was Geschädigte wissen sollten

Am 18. April 2026 drainten Angreifer über eine manipulierte Cross-Chain-Bridge rund 116.500 rsETH – umgerechnet ca. 290 Millionen US-Dollar – aus dem Protokoll von KelpDAO. Blockchain-Sicherheitsunternehmen wie Halborn und LayerZero haben den Angriff mit hoher Wahrscheinlichkeit der nordkoreanischen Lazarus Group zugerechnet, konkret der Untergruppe TraderTraitor. Folglich stehen deutsche und europäische Liquidity-Provider vor der Frage, welche rechtlichen Wege ihnen offenstehen.

Wer nach „KelpDAO Hack Entschädigung“, „KelpDAO rsETH Verlust zurückfordern“ oder „KelpDAO Lazarus Group Klage“ sucht, landet hier richtig. Dieser Beitrag richtet sich an Personen, die Kapital im Protokoll bereitgestellt hatten und durch den Angriff Verluste erlitten haben. Zudem wendet er sich an Anleger, die verstehen möchten, welche forensischen und juristischen Schritte jetzt sinnvoll sind.

Was ist beim KelpDAO Hack im April 2026 passiert?

Die Angreifer vergifteten zunächst RPC-Knoten des Protokolls und erzwangen per DDoS-Angriff einen Failover auf kompromittierte Infrastruktur. Anschließend signierten sie gefälschte Cross-Chain-Transaktionen – ohne dass ein einziger Smart Contract direkt kompromittiert wurde. Somit war es kein klassischer Exploit im Vertragscode, sondern ein gezielter Angriff auf die Infrastrukturebene. Daher greift die übliche Argumentation, dass ein fehlerfreier Smart Contract Sicherheit garantiert, in diesem Fall nicht.

Nach Darstellung von Halborn und LayerZero entsprechen Taktik, Technik und Vorgehensweise exakt dem bekannten Muster der Lazarus Group. Diese nordkoreanische Einheit ist für eine Reihe der größten DeFi-Hacks der vergangenen Jahre verantwortlich. Dennoch steht eine abschließende staatliche Attribution noch aus. Folglich hängen die rechtlichen Anspruchsgrundlagen davon ab, gegen wen und auf welchem Rechtsweg vorgegangen werden soll.

Welche Erlaubnislücke zeigt der KelpDAO Hack im regulatorischen Kontext?

DeFi-Protokolle wie KelpDAO operieren in einem regulatorischen Graubereich. Nach dem Inkrafttreten der MiCAR (Markets in Crypto-Assets Regulation, EU 2023/1114) gelten ab 2024 erhöhte Anforderungen an Krypto-Dienstleister, jedoch nicht ohne Weiteres an vollständig dezentralisierte Protokolle. Außerdem fehlt bisher ein verbindlicher europäischer Standard für Infrastruktursicherheit bei Cross-Chain-Bridges.

Für Geschädigte bedeutet das: Ansprüche gegen das Protokoll selbst sind schwierig, da kein zentraler Betreiber im rechtlichen Sinne existiert. Dennoch ergeben sich über §§ 280, 823 Abs. 2, 826 und 812 BGB potenzielle Ansprüche gegen identifizierbare Mitverantwortliche – etwa gegen Anbieter von Infrastrukturdienstleistungen, die nachweislich fahrlässig gehandelt haben. Deshalb kommt der frühzeitigen forensischen Beweissicherung entscheidende Bedeutung zu.

Was stellt die Behörde fest – und was nicht?

Europol, das FBI und das US-amerikanische OFAC haben Lazarus-Group-Operationen in der Vergangenheit öffentlich attribuiert und Sanktionslisten aktualisiert. Für den KelpDAO Hack liegt eine vollständige staatliche Bestätigung noch nicht vor. Dennoch haben Behörden in vergleichbaren Fällen gezeigt, dass internationale Rechtshilfeabkommen und das Instrument der EuStA Fast Freezing Order grenzüberschreitende Vermögenssicherungen ermöglichen können.

Strafrechtlich kommen §§ 263a, 263 und 261 StGB in Betracht, sobald die Täterschaft deutschen Strafverfolgungsbehörden zugeordnet werden kann. Außerdem eröffnet § 111e StPO die Möglichkeit einer vorläufigen Sicherstellung digitaler Vermögenswerte. Somit ist das rechtliche Instrumentarium vorhanden – entscheidend ist jedoch die Qualität und Vollständigkeit der Beweise, die Geschädigte selbst sichern können.

Welche forensischen Ansatzpunkte ergeben sich beim KelpDAO Hack?

Die On-Chain-Analyse der gestohlenen rsETH-Beträge ist möglich, da Blockchain-Transaktionen unveränderlich sind. Deshalb sollten Betroffene alle Wallet-Adressen, Transaktions-Hashes und Zeitstempel ihrer ursprünglichen Einlagen unverzüglich dokumentieren. Zudem lohnt es sich, Protokoll-Screenshots und Auszüge aus dem DeFi-Portfolio-Tracker zu sichern, bevor Aggregatoren ihre Daten löschen.

Spezialisierte Blockchain-Forensik kann die Mittelflüsse über Mixer, Bridges und Tauschplattformen hinweg verfolgen und für Strafverfolgungsbehörden aufbereiten. Dabei helfen diese Erkenntnisse sowohl strafrechtlichen Ermittlungen als auch zivilrechtlichen Rückforderungsverfahren. Eine Übersicht weiterer Plattformfälle findet sich auf kryptoschaden.de/scam-broker-warnungen-uebersicht. Wie Blockchain-Forensik bei Krypto-Betrug methodisch eingesetzt wird, erläutert außerdem dieser Beitrag zur Blockchain-Forensik auf anwalt[.]de.

Was bedeutet das für Personen mit Verlust durch den KelpDAO Hack?

Wer rsETH oder andere Positionen im Protokoll gehalten hat und durch den Angriff Verluste erlitten hat, sollte nicht abwarten. Verjährungsfristen beginnen ab dem Zeitpunkt der Kenntnis des Schadens zu laufen. Deshalb empfiehlt sich die frühzeitige rechtliche Einschätzung durch eine auf Krypto- und Kapitalmarktrecht spezialisierte Fachanwältin.

Außerdem sollten Betroffene keine Recovery-Dienste beauftragen, die unaufgefordert Kontakt aufnehmen und Vorauszahlungen verlangen. Solche Angebote sind nach Darstellung von Strafverfolgungsbehörden in vielen Fällen selbst betrügerisch. Wie Rückforderungsverfahren bei unerlaubten oder fahrlässig handelnden Anbietern strukturiert werden, erläutert dieser Beitrag zur Rückforderung von Kryptowerten auf anwalt[.]de.

Anna Orlowa, LL.M., Rechtsanwältin und Fachanwältin für Bank- und Kapitalmarktrecht, zertifizierte Spezialistin für Kryptowerte und Steuern