Ein MEV-Bot namens Yoink hat am 15. September 2026 einen gemeldeten rsETH-Exploit auf Ethereum front-run und fast 2.900 rsETH im Wert von rund 7,8 Millionen Dollar abgezogen, bevor die ursprüngliche Attack-Transaktion ausgeführt werden konnte. Das geht aus On-Chain-Daten und Angaben von Sicherheitsforschern hervor.

Kernpunkte

• Der MEV-Bot Yoink front-runte einen gemeldeten rsETH-Exploit und sicherte sich Position Null in Ethereum-Block 25980525 am 15. September 2026.
• Etherscan-Daten zeigen, dass der Bot 2.899,99 rsETH (7.476.833,83 Dollar) aus Aave abzog und anschließend 2.882,37 rsETH (7.431.373,16 Dollar) an eine externe Adresse weiterleitete.
• Die Identität des Safe-Wallet-Inhabers und der tatsächliche Kontrolleur der Empfängeradresse sind durch keine Erste-Partei-Erklärung bestätigt.

rsETH ist ein Liquid-Restaking-Token auf Ethereum, der gestakte ETH-Positionen repräsentiert, die durch Restaking-Protokolle zusätzliche Erträge erzielen. MEV, kurz für maximal extractable value, bezeichnet Gewinne, die durch Umordnung, Einfügen oder Zensieren von Transaktionen innerhalb eines Blocks erzielt werden. Die tiefe Integration in Kreditmärkte wie Aave bedeutet, dass große Positionen per Smart-Contract-Aufruf abgezogen oder liquidiert werden können – eine Angriffsfläche, die MEV-Bots aktiv im öffentlichen Mempool überwachen.

Erste öffentliche Zuordnung

Das Sicherheitsunternehmen PeckShield gehörte zu den Ersten, die das Ereignis öffentlich einordneten, und beschrieb es als Front-Run eines rsETH-Exploits von etwa 7,81 Millionen Dollar auf Ethereum.

#PeckShieldAlert MEV bot yoink front-runs a ~$7.81M $rsETH exploit on Ethereum pic.twitter.com/vAJwsCOfsQ

— PeckShieldAlert (@PeckShieldAlert) September 15, 2026

Quelle: @PeckShieldAlert auf X

Die Transaktionsfolge

Laut Etherscan-Daten für Block 25980525 Yoinks Transaktion am 15. September 2026 um 04:38:47 Uhr UTC ausgeführt. Der Bot zog 2.899,999999999997756819 rsETH im Wert von 7.476.833,83 Dollar zum Ausführungszeitpunkt aus Aave ab.

Anschließend leitete Yoink 2.882,37 rsETH im Wert von 7.431.373,16 Dollar an die Adresse 0xC70f00CD7E461686b04B0E912E309becA8b80ea0 weiter. Identität und tatsächlicher Kontrolleur dieser Empfängeradresse sind anhand der verfügbaren Beweise nicht geklärt.

The Defiant berichtete, dass Yoink und die ursprüngliche Attack-Transaktion im selben Ethereum-Block landeten, wobei Yoink Position Null belegte und die Transaktion des ursprünglichen Angreifers revertierte. Um Position Null in einem Block zu erreichen, muss eine Transaktion mit höherer Priority Fee übermittelt oder ein privates Relay genutzt werden – eine Technik, die bei professionellen MEV-Betreibern verbreitet ist.

Was unbestätigt bleibt

Das Sicherheitsunternehmen Blockaid teilte mit, dass sein Exploit-Erkennungssystem einen Exploit an der Safe-Wallet eines nicht identifizierten Nutzers auf Ethereum markierte und einen bestätigten rsETH-Verlust von etwa 7,73 Millionen Dollar meldete. Blockaid nannte den Inhaber der Safe-Wallet nicht öffentlich.

Mehrere Zweitberichte ordneten die betroffene Safe-Wallet Kelp DAO zu und behaupteten, das Protokoll habe die betreffenden Mittel eingefroren. Keine Erste-Partei-Erklärung von Kelp DAO, Safe, Aave oder dem Wallet-Inhaber konnte anhand der verfügbaren Beweise verifiziert werden. Diese Angaben sind als unbestätigt zu behandeln.

Was der rsETH-Exploit für DeFi-Nutzer und Protokolle bedeutet

Ausführungsrisiko im öffentlichen Mempool

Der Vorfall veranschaulicht einen strukturellen Konflikt im öffentlichen Mempool von Ethereum: Jede Transaktion, die ohne private Relay-Infrastruktur übertragen wird, ist vor ihrer Aufnahme für MEV-Bots sichtbar. Bei DeFi-Sicherheitsvorfällen wirkt das in beide Richtungen. Ein Bot, der einem Exploit zuvorkommt, kann verhindern, dass ein Angreifer die Mittel erbeutet, doch der Bot behält die Erlöse selbst, anstatt sie der betroffenen Partei zurückzugeben. Die Präzedenzfälle sind gemischt: Bei früheren DeFi-Exploits haben ME-Bots, die Angreifern zuvorkamen, die erbeuteten Mittel in einigen Fällen später zurückgegeben; ein solcher Schritt wurde in diesem Fall bislang nicht angekündigt.

Das Ergebnis hier – rund 7,4 Millionen Dollar, die an eine Adresse mit unbekanntem Inhaber bewegt wurden – spiegelt Muster früherer DeFi-Vorfälle wider. Ein früherer DeFi-Bridge-Exploit mit gefälschten BTC-Tokens zeigte ähnlich, wie sich unbefugte Token-Flüsse über verbundene Protokollebenen kaskadieren können, bevor eine menschliche Reaktion überhaupt möglich ist.

Lehren für die Protokollsicherheit

Dass eine Safe-Multisig-Wallet offenbar das Opfer war, ist bemerkenswert. Safe wird von DAOs und institutionellen DeFi-Teilnehmern gerade deshalb breit eingesetzt, weil es mehrere Signaturgeber erfordert. Ein Exploit, der eine Safe-Wallet trifft, deutet daher entweder auf einen kompromittierten Signerschlüssel, eine per Quorum gebilligte bösartige Transaktion oder eine Modul-Schwachstelle hin – nicht auf einen einfachen Diebstahl eines Private Keys.

Aaves Rolle als Liquiditätsschicht, aus der das rsETH abgezogen wurde, verdeutlicht das kumulierte Risiko der Nutzung von Liquid-Restaking-Tokens als Sicherheiten in Kreditmärkten. Positionsgrößen, die einen einzelnen Abzug von 7,4 Millionen Dollar ermöglichen, sind per se attraktive MEV-Ziele – unabhängig davon, ob die auslösende Transaktion ein Exploit oder eine routinemäßige Liquidation ist. Protokollteams, die ähnliche Sicherheitenrisiken auf anderen Chains bewerten, sehen sich einer vergleichbaren Mempool-Exposition ausgesetzt.

Grenzen der On-Chain-Zuordnung

Zum Zeitpunkt der Veröffentlichung wurde Ethereum bei 2.412,37 Dollar gehandelt, 0,14 Prozent höher innerhalb von 24 Stunden, und der breitere Krypto-Markt-Stimmungsindex stand bei 51 (neutral). Das makroökonomische Umfeld verstärkte die unmittelbare Preiswirkung des Vorfalls auf rsETH oder ETH nicht.

On-Chain-Daten können belegen, was sich wann und an welche Adressen bewegt hat, aber sie können ohne Off-Chain-Offenlegung weder Absichten, noch die Zuordnung zu einem Protokoll, noch eine Rückholung der Mittel bestätigen. Weitere Bewegungen des weitergeleiteten rsETH wären in öffentlichen Block-Explorern sichtbar, doch die Zuordnung von Namen oder Verantwortung zu diesen Transfers erforderte weiterhin eine Erste-Partei-Erklärung. Bis der Safe-Inhaber, Kelp DAO – sofern involviert – oder der Kontrolleur der Empfängeradresse eine Erklärung abgibt, bleibt der endgültigebleib der rund 7,4 Millionen Dollar in rsETH eine offene Frage für das Ethereum-DeFi-Ökosystem.

---

Haftungsausschluss: Dieser Artikel dient ausschließlich Informationszwecken und stellt keine Finanz- oder Anlageberatung dar. Kryptowährungs- und Digital-Asset-Märkte sind mit erheblichen Risiken verbunden. Führen Sie stets eigene Recherchen durch, bevor Sie Entscheidungen treffen.

Quelle: AI Crypto Core