Aave hebt die Sperre seiner Kreditmärkte nach dem Binance-Hack auf

Rund 18 Stunden nach dem Binance-Hack hat Aave am Freitag alle Märkte seiner Versionen V3 und V4 wieder geöffnet. Ganz zurück ist der Normalbetrieb nicht: Neun Token, darunter USDT und USDC, taugen vorerst nicht als Sicherheit für neue Kredite, und die Kreditobergrenzen wurden um rund 3,7 Milliarden Dollar gekürzt. Ob die Sperre nötig war, ist im Forum des Protokolls umstritten.

“All markets are now unfrozen across Aave V3 and V4”, teilte Aave am Freitagnachmittag auf X mit.

Der Angreifer lieh sich 19.762 Ether bei Aave

Was die Sperre auslöste, beschreibt der Risikodienstleister LlamaRisk im Governance-Forum von Aave. Zwischen 21:58 und 22:01 Uhr am Donnerstag hinterlegte eine Wallet aus dem Umfeld des Binance-Angreifers 60 Millionen USDT auf Aave V3 und lieh sich dagegen 19.762 Wrapped Ether, damals rund 44,6 Millionen Dollar.

Binnen zehn Minuten nach den ersten Meldungen saßen Aave Labs, TokenLogic, Certora und LlamaRisk in einem gemeinsamen Krisenstab. Sie entschieden sich für eine Sperre aller Märkte, weil der Angreifer jeden gelisteten Token hätte eintauschen und hinterlegen können. Kreditgrenzen zu senken, hätte eine Abstimmung und rund fünf Tage gebraucht, die Sperre durch die Guardian-Multisigs dagegen lässt sich jederzeit zurücknehmen.

Zwischen 22:42 und 0:04 Uhr froren die Guardians 175 Märkte auf 16 Netzen in V3 und 117 in V4 ein. Wer Geld hinterlegt hatte, konnte es weiter abziehen und Kredite tilgen, nur Neues ging nicht mehr.

Kritiker halten die Sperre für überzogen

Ein Teil der Forumsnutzer sieht das anders. Der Nutzer submitblock nannte die Sperre eine Überreaktion, die 60 Millionen Dollar hätten die Stabilität von Aave nie bedroht, und über Ergebnisse solle der Code entscheiden, nicht die Sperren von Emittenten.

Andere schlagen vor, Zuflüsse künftig automatisch zu bremsen statt ganze Märkte anzuhalten, etwa mit einem Limit von “$10M WETH per 10 min”, weil der Angreifer seinen Kredit in rund drei Minuten aufgenommen habe.

LlamaRisk hält dagegen, die Position des Angreifers sei mit 59,9 Millionen Dollar in USDT gegenüber 43,8 Millionen Dollar Schulden übersichert und bringe Einleger nicht in Gefahr. Seit 22:01 Uhr am Donnerstag habe keine Wallet des Angreifers Aave mehr angesprochen.

Die Sperre hatte einen Preis für Einleger

Belegt ist, dass die Pause selbst Folgen hatte. Weil Einleger während der Sperre abzogen, stieg die Auslastung der größten Stablecoin- und WETH-Märkte im Ethereum-Hub von V4 auf 92 bis 100 Prozent; bei voller Auslastung ist kein freies Guthaben mehr zum Abheben da. Die Risikoverwalter deckelten deshalb den Zins bei voller Auslastung vorübergehend auf 10 Prozent im Jahr und senkten die Kreditobergrenzen auf etwa zwei Prozent über den Stand vor dem Angriff.

Ähnlich hatte Aave schon im April nach dem Angriff auf die rsETH-Bridge von KelpDAO Märkte eingefroren.

Neben USDT und USDC bleiben USDT0, POL, WAVAX, sAVAX, XAUt, PAXG und OP ohne Beleihungswert für neue Kredite; bestehende Positionen in V3 behalten ihre Liquidationsschwellen. Der Token AAVE kostete um 16:36 Uhr 125,30 Dollar, gut acht Prozent weniger als 24 Stunden zuvor, der Stablecoin GHO lag bei 0,998 Dollar. Quelle: CoinGecko

Wann die neun Token wieder als Sicherheit zählen, hat LlamaRisk offengelassen und will die Bedingungen dafür eigens prüfen.