Das DeFi-Kreditprotokoll Aave hat Hunderte von Kreditmärkten über mehrere Blockchain-Netzwerke hinweg eingefroren, nachdem die Hot Wallet von Binance mutmaßlich um 6,3 Milliarden US-Dollar ausgenutzt wurde, um zu verhindern, dass der Angreifer gestohlene Assets als Sicherheiten für weitere Kredite nutzt.

In einem Governance-Forum-Update vom 30. Oktober 2026 erklärte der Aave-Risikodienstleister LlamaRisk, man habe innerhalb von 10 Minuten nach den ersten Berichten über den Vorfall eine Notfallmaßnahme mit Aave Labs, TokenLogic und Certora koordiniert.

Hunderte Reserven über Aave V3 und V4 eingefroren

Die Notfallmaßnahme führte dazu, dass 175 Reserven in 16 Netzwerken auf Aave V3 und weitere 117 Reserven in vier Netzwerken auf Aave V4 eingefroren wurden. Zu den betroffenen Netzwerken gehören Ethereum, Arbitrum, Avalanche, Base, BNB Chain, Optimism, Polygon und mehrere andere.

Die Sperrungen wurden laut dem Forum-Update von Aaves Guardian-Multisig zwischen 21:42 und 23:04 UTC am 29. Oktober durchgeführt.

Der Angreifer hatte Aave bereits genutzt, um 44,6 Millionen US-Dollar zu leihen

LlamaRisk teilte mit, dass eine Wallet, die zum mutmaßlichen Cluster des Binance-Ausnutzers gehört, bereits mit Aave interagiert hatte, bevor die Notfallbeschränkungen in Kraft traten.

Zwischen 20:58 und 21:01 UTC zahlte die Wallet 60 Millionen US-Dollar in Tethers USDT-Stablecoin in den Ethereum-Core-Markt von Aave V3 ein und lieh 19.762 Wrapped Ether (WETH) im damaligen Wert von rund 44,6 Millionen US-Dollar.

Die Transaktion verwandelte USDT – das vom Herausgeber eingefroren werden kann – effektiv in Wrapped Ether, das nicht über denselben zentralisierten Einfriermechanismus verfügt. Die Kreditaufnahme erfolgte rund 40 Minuten, bevor Aave seine erste Marktsperre verhängte.

LlamaRisk zufolge hat seit 21:01 UTC keine Wallet, die mit dem Angreifer in Verbindung gebracht wird, mit dem Protokoll interagiert. Die Position hält derzeit rund 59,9 Millionen US-Dollar in USDT-Sicherheiten bei 43,8 Millionen US-Dollar ausstehenden Verbindlichkeiten und ist damit überbesichert und normalen Liquidationsverfahren unterworfen.

Laut Aave ist die Position die einzige Exposition des Angreifers gegenüber dem Protokoll über alle Netzwerke und Versionen hinweg und stellt kein Risiko für Einleger dar.

Warum Aave Märkte über mehrere Netzwerke hinweg sperrte

Anstatt nur die spezifischen, von Binance gestohlenen Token einzuschränken, entschied sich Aave dafür, die Kredit- und Leihaktivität in seinen Märkten vollständig einzufrieren. LlamaRisk erläuterte, dass der Angreifer gestohlene Assets gegen jeden auf Aave gelisteten Token tauschen und diese anschließend als Sicherheiten nutzen könnte, um andere Kryptowährungen zu leihen. Eine Beschränkung nur auf die gestohlenen Tokens hätte daher alternative Wege für den Angreifer offen gelassen, über das Kreditprotokoll an Liquidität zu gelangen.

Das Team entschied sich zudem für eine Notfallsperre, weil Aaves Guardian-Multisig die Beschränkungen rückgängig machen kann. Eine Senkung der Angebots- und Kreditobergrenzen hätte stattdessen eine Governance-Abstimmung und etwa fünf Tage zur Wiederherstellung erfordert.

Die Sperre verhindert, dass Nutzer – einschließlich des Angreifers – neue Einlagen- oder Kreditpositionen eröffnen. Bestehende Nutzer können weiterhin Assets abheben und ausstehende Kredite zurückzahlen, und Liquidationen laufen normal weiter. Da Nutzer bestehenden Positionen keine Sicherheiten mehr hinzufügen können, solange die betroffenen Reserven eingefroren sind, ist die Rückzahlung von Krediten während der Beschränkungen der einzige Weg, ihre Health Factors zu verbessern.

Auswirkungen auf den Krypto-Markt und Stablecoin-Aktivität

Aave berichtete, dass seine Oracle-Feeds, die die externen Asset-Preise für die Berechnung von Sicherheitenwerten und Liquidationen liefern, während des gesamten Vorfalls normal funktionierten.

Zum Zeitpunkt 00:55 UTC am 30. Oktober waren Bitcoin und Ether seit dem Abfluss der Binance-Wallet jeweils um rund 4 % gefallen.

State of the market following the #BinanceHack news.

— BitKE (@BitcoinKE) October 30, 2026

Mehrere vom Angreifer gehaltene Governance-Token verzeichneten stärkere Rückgänge: AAVE und Chainlinks LINK fielen um rund 9 %, Uniswaps UNI gab um 8 % nach und Arbitrums ARB sank um 6 %. Aave erklärte, die Marktsperren hätten verhindert, dass der Angreifer diese Token in seine Kreditmärkte einzahlen konnte, während bestehende, auf diese Assets gestützte Positionen gesund blieben.

Der GHO-Stablecoin des Protokolls verzeichnete ebenfalls einen leichten Rückgang von rund 0,998 US-Dollar auf 0,997 US-Dollar, als Inhaber zwischen 21:49 und 22:07 UTC etwa 4,6 Millionen GHO über das GHO Stability Module in USDT einlösten.

Beschränkungen bleiben bestehen, bis die Eindämmung bei Binance Fortschritte macht

Aave erklärte, die betroffenen Märkte würden eingefroren bleiben, bis die Gelder des Angreifers sich nicht mehr bewegen und mehr Klarheit über Binales Bemühungen zur Eindämmung des Vorfalls besteht. Das Protokoll plant, sich mit Aave Labs und anderen Dienstleistern auf eine gestaffelte Wiedereröffnung der Märkte zu verständigen, sobald die Umstände es erlauben.

LlamaRisk warnte, dass anhaltende Beschränkungen auch die Liquidität der Kreditmärkte beeinträchtigen könnten. Da eingefrorene Reserven keine neuen Einlagen annehmen können, könnten große Abhebungen die Auslastungsquoten und die Kreditkosten für verbleibende Nutzer erhöhen.

Die Reaktion zeigt, wie sich eine Sicherheitsverletzung bei einer zentralisierten Börse auf die dezentralen Finanzen auswirken kann, wo gestohlene Assets in Sicherheiten umgewandelt werden können, um Zugang zu Liquidität zu erhalten oder über mehrere Protokolle hinweg bewegt zu werden.

Aave erklärte, man werde die Wallets des Angreifers weiter über Ethereum, Arbitrum, Optimism und Avalanche hinweg verfolgen und dabei Preis-Feeds und mögliche Liquidationsrisiken überwachen.