JPMorgan: DeFi-Sicherheitskrise blockiert institutionelle Kapitalflüsse

Wer schon einmal an einem Post-Incident-Review für eine Cross-Chain-Bridge teilgenommen hat, kennt die Grundstruktur dieser Geschichte, bevor er auch nur eine Zeile liest. Eine einzelne Mint-Funktion, eine einzelne Vertrauensannahme – und bis zum Morgen klafft ein neunstelliges Loch in der Bilanz. JPMorgans aktueller DeFi-Bericht unter der Leitung von Managing Director Nikolaos Panigirtzoglou verwendet den Kelp DAO-Exploit als Hauptbeispiel dafür, warum institutionelle Schatzkammern noch immer kein echtes Geld in On-Chain-Lending überweisen. Das Urteil der Bank ist unmissverständlich: Das Sicherheitsmodell ist nicht gut genug, und die Wachstumszahlen sprechen nicht dagegen.

Was passiert ist

Der Mittwochsbericht von JPMorgan stützt sich auf eine einfache These: Wiederkehrende Sicherheitsverletzungen und schwaches Kapitalwachstum sind die beiden Faktoren, die Institutionen davon abhalten, sich auf DeFi einzulassen. Wie CoinMarketCap berichtete, war der Kelp DAO-Exploit das zentrale Fallbeispiel – und die Zahlen sind ernüchternd.

Der Angreifer nutzte eine Cross-Chain-Bridge aus, um rsETH-Token im Wert von 292 Millionen Dollar ohne reale Deckung zu minten. Diese Token wurden anschließend zu Aave transferiert, als Sicherheit hinterlegt und genutzt, um echtes Ethereum gegen gefälschte Besicherung zu leihen. Das Lending-Protokoll blieb auf einem geschätzten Schaden von 230 Millionen Dollar fauler Kredite sitzen. Der Total Value Locked im gesamten DeFi-Sektor schrumpfte innerhalb weniger Tage um rund 20 Milliarden Dollar.

Das Ansteckungsmuster ist das, was institutionelle Risikoverantwortliche besonders beschäftigen wird. Kapital floh aus Pools, die gar kein direktes Exposure gegenüber rsETH hatten. Wenn sich ein Collateral-Asset als wertlos herausstellt, gehen Liquidity Provider überall davon aus, dass das nächste dasselbe Schicksal erleiden könnte. Das ist ein korreliertes Risikoereignis in einem Sektor, der sich mit trustless Composability vermarktet.

LayerZero und unabhängige Blockchain-Sicherheitsforscher haben den Angriff der Lazarus Group Nordkoreas zugeschrieben. Einige Mittel wurden eingefroren. Der Rest bewegt sich noch immer durch Wallets und Privacy-Protokolle – was in der Praxis bedeutet: er ist verloren. Die Analysten von JPMorgan stellten außerdem fest, dass die Gesamtverluste durch Krypto-Hacks in diesem Jahr in etwa demselben Tempo verlaufen wie 2025. Die Branche wird von Jahr zu Jahr nicht sicherer – sie stagniert, während die Angriffsfläche wächst.

Technische Analyse

Ohne das Branding betrachtet handelte es sich um einen klassischen Bridge-Mint-Kompromiss, der mit einem Lending-Oracle-Versagen verknüpft wurde. Die Bridge vertraute einer Nachricht, der sie nicht hätte vertrauen sollen. Der Lending-Markt vertraute einem Collateral-Token, dessen Deckung er nicht in Echtzeit verifizieren konnte. Beide Annahmen versagten gleichzeitig, und der Exploit stapelte sie aufeinander.

Die JPMorgan-Analysten weisen explizit darauf hin, dass Smart-Contract-Audits sich verbessert haben, Cross-Chain-Bridge-Sicherheit jedoch das Segment mit der höchsten Konzentration ungelöster Risiken bleibt. Das deckt sich mit dem, was produktive Vorfälle in diesem Bereich immer wieder zeigen: Audits erkennen Reentrancy- und Access-Control-Bugs inzwischen recht zuverlässig, aber Bridge-Vertrauensannahmen sind im Wesentlichen soziale und kryptoökonomische Konstrukte. Man kann sich nicht aus einem Validator-Set herausprüfen, das bestochen, per Phishing angegriffen oder von einem staatlichen Akteur kompromittiert werden kann.

Betrachten wir die Mechanik: Ein Liquid-Restaking-Token wie rsETH ist ein derivativer Anspruch auf gestaktes ETH, das anderswo verwahrt wird. Auf seiner Heimatkette ist die Buchführung eine Sache. Auf einer Zielkette, nach der Bridge-Passage, ist es ein gewickelter IOU, dessen reale Deckung auf der anderen Seite liegt. Aaves Price Feed sieht einen Token, der gegen ETH gehandelt wird. Er sieht nicht die Mint-Autorität des Bridge-Contracts. Wenn diese Mint-Autorität kompromittiert ist, ist die Sicherheit gefälscht – aber der Kredit ist real. Siehe die Ethereum-Dokumentation zu Message Passing und Canonical Bridging für die Grundprinzipien.

CryptoQuant berichtete separat, dass die Kreditraten im gesamten DeFi-Sektor nach dem Exploit stark anstiegen, was eine breitere Liquiditätsverknappung widerspiegelt. Das ist das Warnsignal. Raten steigen, wenn Liquidity Provider abziehen. LPs ziehen ab, wenn sie sichere Pools nicht von kontaminierten unterscheiden können. Die vernetzte Struktur, die DeFi als Feature vermarktet, wird in dem Moment zum systemischen Risikoübertragungsmechanismus, in dem ein Knoten bricht.

Meine Einschätzung: Cross-Chain-Bridges sind das 2026er-Äquivalent der Korrespondenzbankschicht, die niemand modernisieren wollte, bis sie kollabierte. Jede Restaking-Erzählung, die auf ihnen aufbaut, erbt ihr Risikoprofil – unabhängig davon, was das Marketing-Deck sagt.

Wer den Schaden trägt

Aave ist das offensichtliche kurzfristige Opfer. 230 Millionen Dollar in faulen Krediten sind selbst für ein erstklassiges Lending-Protokoll kein Rundungsfehler, und der Reputationsschaden durch die Akzeptanz eines kompromittierten LRT als Collateral wird das Risikoteam in jeden künftigen Listing-Prozess begleiten. Zu erwarten ist ein deutlich langsamerer und konservativerer Onboarding-Prozess für jedes neue Restaking-Derivat.

Liquid-Restaking-Protokolle insgesamt bilden den zweiten konzentrischen Ring. Wenn sich ein LRT auf Bridge-Ebene als angreifbar herausstellt, hören Allocatoren auf zu fragen „Welches ist sicher?" und beginnen zu fragen „Warum bin ich überhaupt in dieser Kategorie?" Teams, die das nächste Kelp-, EigenLayer-adjacent-Produkt oder einen LRT-Aggregator bauen, werden die nächsten 90 Tage damit verbringen, Sicherheitsfragen zu beantworten, statt Features zu liefern. Teams, mit denen ich in angrenzenden Bereichen gearbeitet habe, kennen dieses Muster: Ein Vorfall mit großem Schadenradius wirft die gesamte Kategorie um zwei Quartale im Business Development zurück.

Institutionelle Allocatoren sind die dritte Gruppe – und hier liegt JPMorgans eigentliche Botschaft. In Dollar-Terms hat DeFi TVL sich zusammen mit dem breiteren Kryptomarkt teilweise erholt. In Ethereum-Terms ist der TVL flach geblieben. Diese flache ETH-denominierte Linie ist die entscheidende Kennzahl. Sie bedeutet, dass DeFi kein organisches Kapital anzieht, sondern lediglich auf der Preissteigerung des zugrundeliegenden Assets aufschwimmt. Für einen Pensions-Allocator oder eine Bank-Treasury ist das keine Wachstumsstory, die das operative Risiko rechtfertigt.

Die unbequeme Schlussfolgerung: In Stressphasen rotierte Kapital nicht innerhalb von DeFi in sicherere Pools. Es verließ den Sektor. Investoren wechselten in Stablecoins, wobei USDT das bevorzugte Vehikel war – aufgrund tieferer CEX-Liquidität und schnellerer Off-Ramps. Die Rotation hat sich noch nicht einmal im Wachstum der USDT-Marktkapitalisierung gezeigt, was darauf hindeutet, dass ein Teil des Kapitals noch weiter gegangen ist – direkt off-chain. Das ist ein Run-Muster, keine Portfolio-Umschichtung.

Handlungsempfehlungen für Krypto und DeFi

Wer ein Lending-Protokoll betreibt, sollte jeden Collateral-Asset überprüfen, dessen Deckung von einer Bridge abhängt, die man nicht kontrolliert. Harte Obergrenzen für gewickelte oder gebridgte Collaterals setzen und oracle-unabhängige Circuit Breaker einrichten, die bei ungewöhnlichem Mint-Volumen vorgelagert auslösen. Ein Mint von 292 Millionen Dollar sollte niemals stillschweigend von einem nachgelagerten Price Feed akzeptiert werden.

Wer eine Bridge oder einen LRT betreibt, sollte Echtzeit-Proof-of-Reserves veröffentlichen, die die Risiko-Engine eines Lending-Protokolls tatsächlich konsumieren kann. Kein PDF, keine vierteljährliche Bescheinigung. Ein signierter On-Chain-Feed. Wenn die Sicherheit des Produkts davon abhängt, dass Institutionen einer Discord-Ankündigung nach einem Vorfall vertrauen, hat man das Enterprise-Gespräch bereits verloren.

Wer als Allocator oder CTO DeFi-Exposure für ein Treasury-Mandat bewertet, sollte den ETH-denominierten TVL als Gesundheitscheck verwenden, nicht den Dollar-TVL. Die Gegenpartei fragen, wie sie sich in einem Kelp-artigen Ansteckungsereignis verhalten würden, bei dem der kompromittierte Asset nicht in den eigenen Pools ist. Lautet die Antwort „wir gehen davon aus, dass LPs bleiben", sollte man das Gespräch beenden.

Für iGaming- und Fintech-Teams, die On-Chain-Settlement-Rails im Blick haben, ist dies ein Signal, Hot-Wallet- und Settlement-Flows in Assets und Umgebungen mit schnellen Off-Ramps zu halten. Die Rolle von USDT als Stress-Exit ist kein Zufall – es ist der Markt, der mit den Füßen abstimmt. Treasury-Flows sollten unter der Annahme gestaltet werden, dass DeFi-Liquidität binnen 48 Stunden verdampfen kann.

Wichtigste Erkenntnisse

• Der Kelp DAO-Exploit vernichtete innerhalb weniger Tage rund 20 Milliarden Dollar aus dem DeFi TVL, ausgelöst durch einen ungedeckten rsETH-Mint über 292 Millionen Dollar, der 230 Millionen Dollar in faulen Krediten bei Aave hinterließ.
• JPMorgans Einschätzung: Smart-Contract-Audits haben sich verbessert, aber Cross-Chain-Bridges bleiben das Segment mit dem höchsten ungelösten Risikokonzentration im Sektor.
• Der ETH-denominierte DeFi TVL ist flach – das untergräbt die organische Wachstumsstory, die Institutionen zur Rechtfertigung einer Allokation benötigen.
• Stress-Rotationen flossen in USDT und wahrscheinlich vollständig off-chain – ein Run-Muster, das jedes Protokoll beunruhigen sollte, das auf beständige Liquidität angewiesen ist.
• Die Attribution an die Lazarus Group bedeutet, dass es sich um ein Bedrohungsmodell auf Nationalstaatsebene handelt – und Produkt-Sicherheits-Roadmaps müssen entsprechend ausgestattet werden.