Analyse: Krypto-Kreditvergabe legt um mehr als 55 % zu – vernetzte Protokolle bergen Risiken

Der in Krypto-Kreditprotokollen gebundene Gesamtwert ist seit Anfang Juli um mehr als 55 % auf heute rund 56 Milliarden Dollar gestiegen. Galaxy zufolge flossen im zweiten Quartal 11,33 Milliarden Dollar aus dem Sektor ab. Der Abfluss spiegelte teilweise eine Vertrauenskrise wider, die durch den Kelp-DAO-Hack im April ausgelöst wurde und dazu führte, dass Aave-Nutzer nicht auf ihre ETH zugreifen konnten. Bei vernetzten Kreditprotokollen besteht das Risiko, dass ein Angriff auf ein Protokoll schädliche Folgen für verbundene Protokolle hat; hinzu kommen Gefahren durch KI-gestützte Hacks.

Hacker nutzten im April eine Cross-Chain-Verbindung von Kelp DAO aus und erzeugten 116.500 nicht gedeckte rsETH im damaligen Wert von rund 290 Millionen Dollar. Viele dieser Token wurden auf den Aave-Märkten als Sicherheiten für Kredite in anderen Vermögenswerten hinterlegt. Aaves eigene Smart Contracts wurden nicht kompromittiert. Dennoch sanken die Einlagen bei Aave in den Tagen nach dem Angriff um rund 15 Milliarden Dollar. Aave musste die Märkte für rsETH und wrsETH einfrieren.

Aave-Gründer und -Chef Stani Kulechov zufolge bedeutet die Annahme eines Tokens als Sicherheit auch, dessen Bridge, Verifier-Konfiguration, Orakel und die operative Sicherheit des Emittenten zu akzeptieren. Kulechov sagt, Aave habe seinen Sicherheitsansatz überarbeitet, weil herkömmliche Prüfungen Risiken bei Bridges, Verifier-Netzwerken und anderer Infrastruktur, die Vermögenswerte unterstützt, übersehen hätten. Aave überprüfe nun jeden Vermögenswert vierteljährlich und erneut nach jeder wesentlichen Änderung, sagt Kulechov. Aave habe einen geordneten Rückzug aus sechs Netzwerken eingeleitet, die den Standards auf Netzwerkebene nicht entsprochen hätten. Protokolle könnten nicht das gesamte Ökosystem kontrollieren, wohl aber ihr Engagement und die Geschwindigkeit ihrer Reaktion, sagt Kulechov.

Spark-Chef Sam MacPherson zufolge prüft Spark neben Smart Contracts auch die Governance-Struktur, die operative Sicherheit, die Qualität der Sicherheiten, das Liquiditätsmanagement und Abhängigkeiten vom weiteren Ökosystem. Spark begann im Januar, rsETH auf SparkLend schrittweise auslaufen zu lassen – vor dem Angriff im April –, weil die geringe Nutzung und die niedrigen Einnahmen das zusätzliche Risiko nicht rechtfertigten. Protokolle benötigten Verfahren für den Umgang mit Vorfällen und müssten nachweisen, wie Verluste im Fall eines Ausfalls begrenzt würden, sagt MacPherson. Ledn-Finanzchef Thomas Wu zufolge schafft jeder Wrapper, jede Bridge und jedes Orakel zwischen Kreditgebern und den zugrunde liegenden Vermögenswerten einen weiteren potenziellen Ausfallpunkt für Kredite. Seriöse Kreditgeber sollten davon ausgehen, dass Kreditnehmer jederzeit ausfallen können, und prüfen, wo Vermögenswerte liegen, wie gut sie in Echtzeit einsehbar sind und wie schnell auf sie zugegriffen werden kann, sagt Maple-Mitgründer und -Chef Sid Powell.

Menschliches Versagen sei weiterhin eine der größten und am leichtesten übersehenen Schwachstellen, sagt Shawn Owen, Gründer und Chef von SALT Lending. Viele große Verluste hätten mit Schlüsselverwaltung, Zugriffskontrollen oder Social Engineering zu tun gehabt – Aspekte, die eine Prüfung von Smart Contracts nicht erfassen würde, sagt Owen. Zusätzliche Risiken entstehen, wenn Kreditgeber Vermögenswerte anderweitig einsetzen, um Zinsen zu erwirtschaften. Celsius, Voyager und BlockFi brachen während des Marktabschwungs 2022 zusammen, nachdem sie Risiken eingegangen waren, die Kunden weder verstanden noch erwartet hatten.

Ledn verwahrt die Bitcoin seiner Kunden bei qualifizierten Verwahrern, anstatt sie für zusätzliche Erträge zu verleihen, um potenzielle Angriffspunkte zu minimieren. Weniger Transaktionen verringerten das Risiko eines Sicherheitsvorfalls, weil jede Transaktion einen weiteren potenziellen Ausfallpunkt darstelle, sagt Wu. Risiken ließen sich nur durch getrennte Verwahrung, strenge Kontrollen und möglichst wenige Bitcoin-Bewegungen ausschließen, sagt Wu. Powell warnt, dass schneller eingehende Einlagen, als Manager geeignete Kreditmöglichkeiten finden können, Druck erzeugen, Renditen aufrechtzuerhalten und schlechte Entscheidungen zu treffen. Manager könnten die Anforderungen an Sicherheiten lockern oder Kreditnehmern Geld leihen, die sie ein Jahr zuvor noch abgelehnt hätten, sagt Powell. Manager, die Abschwünge überstehen, seien in der Regel bereit, Kapital abzulehnen, wenn keine geeigneten Kreditmöglichkeiten verfügbar seien.

KI könnte auch dazu beitragen, Krypto-Kredite sicherer zu machen. Aave nutzt bereits KI-gestützte Tests zusätzlich zu herkömmlichen Sicherheitsverfahren. Aave baute im Rahmen von Mutationstests gezielt Fehler in V4-Smart-Contracts ein; die Testsuiten von Aave entdeckten 271 der 304 eingeschleusten Schwachstellen. Drei KI-Sicherheitstools lieferten bei einer kürzlich erfolgten Prüfung der Codebasen von Aave V3 und V4 insgesamt 71 Hinweise. Bei einer manuellen Prüfung wurden 20 davon als valide eingestuft; 51 galten als nicht valide. KI biete eine große Prüfungsbreite und Geschwindigkeit, doch rund 70 % der ungefilterten Treffer seien Fehlalarme gewesen, weshalb das Urteil von Experten unverzichtbar sei, sagt Kulechov.

KI-Berechtigungen, Protokollwissen und Entscheidungsprozesse schaffen weitere potenzielle Angriffspunkte. KI-Agenten, die Kapital auf der Blockchain verwalten, müssten ebenso wie Smart Contracts durch die Absicherung ihrer Berechtigungen, Eingaben und Entscheidungslogik geschützt werden, sagt Kulechov. Mit dem Wachstum der Krypto-Kreditvergabe müssen Protokolle Risiken über neue Komponenten hinweg verstehen, überwachen und begrenzen – statt sich allein auf die Sicherheit des Codes zu konzentrieren.