Ein dünn gehandelter Pendle-Yield-Markt wurde am frühen Dienstag manipuliert, um bei Morpho Liquidationen in Höhe von etwa $36.1 million auszulösen und gehebelte Positionen in rund 14 Minuten auszulöschen, während Kreditgeber unversehrt blieben. Der Vorfall hat die Debatte über das Oracle-Design in der dezentralen Finanzwelt und die Risiken von Looping-Yield-Strategien neu entfacht, insbesondere in Märkten, in denen sich Sicherheitenwerte im Verhältnis zur verfügbaren Liquidität schnell verändern können.

Der Angriff zielte auf den Pendle-reUSD-Principal-Token-Pool mit Fälligkeit am 10. Dezember ab, der weniger als $9 million an Liquidität hielt, während der Morpho-Kreditmarkt, der diese Token als Sicherheiten akzeptierte, $67.5 million an Sicherheiten gegenüber $52.2 million an geliehenen Mitteln aufwies.

Kreditnehmer hatten ihre Positionen bis auf Health Factors von nur 1.03 geloopt und damit Puffer von weniger als 3% gegenüber Kursbewegungen gelassen. Zwischen 04:37 und 04:51 UTC begannen 33 Liquidationsereignisse, $36.14 million an Schulden zu tilgen und 38.6 million Principal Tokens einzuziehen; der USDC-Markt machte fast alle Verluste aus. Die drei größten liquidierten Positionen beliefen sich auf $13.01 million, $11.01 million und $6.83 million.

Onchain-Analysten identifizierten eine einzelne Wallet, die reUSD-Yield-Token kaufte, um die implizite Rendite auf 20% zu treiben, den Principal-Token-Pool zu fluten und seinen Preis zu drücken. Dieselbe Einheit scheint die Liquidationen ausgeführt zu haben; ein Analyst schätzte den realisierten Gewinn auf mindestens $360,000.

Sowohl Pendle als auch der Vault-Kurator Steakhouse Financial erklärten, der Preisfeed habe wie vorgesehen funktioniert, und verwiesen auf den niedrigeren Wert aus einem 15-minütigen Durchschnittspreis und einer festen Fälligkeitskurve. Als der Marktpreis fiel, wurde der Durchschnitt zum Referenzwert, wodurch die Sicherheitenwerte sanken und überhebelte Kreditnehmer über die Liquidationsschwelle von 91.5% gedrückt wurden.

Das Protokoll wies keine faulen Schulden aus. PENDLE fiel um 4.3% auf $1.74 und MORPHO um 5% auf $2.52, auch wenn beide im Wochenvergleich weiterhin um rund 29% im Plus lagen.

Von der Warnung zum Redesign

Die Schwachstelle wurde bereits acht Tage zuvor öffentlich markiert, als ein Nutzer im Morpho-Governance-Forum darauf hinwies, dass das Kreditvolumen die verfügbare Liquidität weit überstieg. Diese Warnung liefert nun zusätzlichen Kontext zur Liquidationskaskade: Der Markt war nicht nur dünn gehandelt, sondern von Teilnehmern auch bereits als in seiner Tiefe begrenzt im Verhältnis zu den ausstehenden Krediten erkannt worden. Steakhouse hatte zudem in einem Forenbeitrag aus dem Jahr 2025 eingeräumt, dass marktbasierte Oracles zwar näher an den tatsächlichen Preisen liegen, in dünn gehandelten Pools jedoch anfällig für Manipulation sind.

Re Protocol, das reUSD ausgibt, teilte mit, man prüfe, ob der Marktpreis des Principal Tokens absichtlich manipuliert worden sei, und arbeite mit Teams an einer sichereren Oracle-Konfiguration. Kein beteiligtes Protokoll hat den Händler formell der Manipulation beschuldigt.

Als Reaktion auf den Vorfall skizzierte LlamaRisk eine alternative Architektur, die es im Rahmen des LlamaGuard-PT-Systems für Aave vorschlägt. Anstatt direkt auf Poolpreise zu verweisen, verwendet das Design einen über mehrere Tage geglätteten Satz, der nur neu bepreist wird, wenn die Abweichung eine veröffentlichte 0.30%-Schwelle überschreitet; jeder Schritt ist durch vertraglich erzwungene Grenzen begrenzt und unterliegt Mindestverzögerungen zwischen Aktualisierungen. LlamaRisk erklärte, dies würde einen Angreifer zwingen, die Poolverschiebung über Tage statt Minuten aufrechtzuerhalten, wodurch Manipulation langsam, teuer und sichtbar würde.

Darüber hinaus verwendet das System dynamische Liquidationsschwellen, die steigen, sobald sich Principal Tokens der Fälligkeit nähern, und damit die Kreditaufnahme automatisch ausweiten, während das Risiko des Vermögenswerts sinkt. Die Architektur läuft in der dezentralen Runtime-Umgebung von Chainlink; der Workflow-Code ist kryptografisch verifizierbar, und die Parameter gehören der Aave Governance statt einem delegierten Betreiber.

Der Beitrag LlamaGuard schlägt begrenztes Oracle-Redesign nach $36 Mio. Morpho-Liquidationen vor, die die DeFi-Debatte erneut anheizen erschien zuerst auf Metaverse Post .