Die Bewertung von DeFi wurde in weniger als zwei Tagen einer dramatischen Überarbeitung unterzogen.

Bis zum letzten Freitag, dem 17. April, wurde für die Ausleihe von Stablecoins an Aave, das weithin als Goldstandard von DeFi gilt, ein effektiver Jahreszins von 2,32 % gezahlt. Der Tagesgeldsatz der Federal Reserve betrug 3,64 %. Auf den ersten Blick schätzte der Markt einen unregulierten Open-Source-Smart-Vertrag als geringeres Kreditrisiko ein als das US-Finanzministerium.

In 48 Stunden war das vorbei. Der Markt tat in Echtzeit, was keinem Regulierer, Prüfer oder Kommentator gelungen war: Er bewertete das DeFi-Kreditrisiko neu.

Die Fehlbewertung

Ordnet man die Dollar-Kreditoptionen vor dem letzten Wochenende nach Rendite, ergibt die Hierarchie keinen Sinn. Treasury über Nacht: 3,64 %. Ledns Bitcoin-gestützte ABS-Senior-Tranche mit Investment-Grade-Rating, Preis im Februar bei BBB-: 6,84 %. STRC Perpetual Preferred der Strategie: 11,50 %. US-Kreditkarten: 21 % gegenüber einer Ausfallrate von 4 %. Und Aave liegt deutlich darunter: 2,32 %.

Etwas musste nachgeben. Luca Prosperi argumentierte Anfang des Jahres, dass die DeFi-Stablecoin-Zinssätze einen Aufschlag von 250–400 Basispunkten gegenüber dem risikofreien Zinssatz haben sollten, was 6,15–7,76 % impliziert. Der Bericht der Bank of Canada vom 2. April vertrat die gegenteilige Ansicht und führte Aaves Quote für notleidende Kredite von 0,00 % als Beweis dafür an, dass die Architektur von DeFi durch strenge Sicherheitenanforderungen und preisbasierte Durchsetzung eine ausfallfreie Kreditvergabe ermöglicht. Was bedeutet das also alles? Entweder hatte DeFi das Kreditrisiko gelöst, oder der Markt hatte aufgehört, es einzupreisen.

Nur eine Seite könnte Recht haben. Letztes Wochenende haben wir herausgefunden, welches.

Das 1/1-Problem

Am 18. April nutzte ein Angreifer die LayerZero-basierte Cross-Chain-Brücke von Kelp DAO aus, um etwa 116.500 ungesicherte rsETH-Token zu prägen – etwa 18 % des zirkulierenden Angebots im Wert von rund 292 Millionen US-Dollar. Die synthetischen Token wurden als Sicherheit in Aave übertragen. Der Angreifer lieh sich schätzungsweise 190 bis 230 Millionen US-Dollar an realen Vermögenswerten gegen Sicherheiten, die, wenn es darauf ankam, gar nicht existierten. Im Vorfallbericht von Aave wurde bestätigt, dass das Protokoll wie geplant funktionierte; Das Defizit ist struktureller und nicht technischer Natur. Kelp und LayerZero haben sich seitdem gegenseitig öffentlich für die 1/1-Validator-Konfiguration verantwortlich gemacht, die den Exploit trivial machte.

Die Ansteckung erfolgte sofort. DeFi-Protokolle sind von Natur aus interoperabel, und „Looping“ – die Aufnahme von Krediten auf einer Plattform und die erneute Hinterlegung der Erlöse als Sicherheit auf einer anderen – bedeutet, dass ein Schlag für Aave einen Schlag für alles bedeutet, was auf Aave aufbaut. Ungefähr 20 % des historischen Kreditvolumens von Aave stammen aus rekursiver Hebelwirkung. Innerhalb von 48 Stunden verließen Aave Nettoabflüsse in Höhe von 6 bis 10 Milliarden US-Dollar. Die Auslastung der WETH-, USDT- und $USDC-Pools erreichte 100 %. Einleger konnten nicht abheben. Kreditnehmer konnten keine Stablecoin-Liquidität beschaffen. Gestrandete Benutzer haben sich weitere 300 Millionen US-Dollar gegen ihre eigenen gesperrten Stablecoin-Einlagen mit einem LTV von 75 % geliehen, oft mit Verlust, nur um an Bargeld zu kommen.

Die Tarife reagierten entsprechend. Die APYs für die Aave-Stablecoin-Einzahlung stiegen innerhalb von zwei Tagen von 3–6 % vor der Ausnutzung auf 13,4 %. Morphos $USDC-Tresor, der das Verbraucherkreditprodukt von Coinbase antreibt, sprang von 4,4 % $APR am 18. April auf 10,81 % am nächsten Tag, als sich der Liquiditätsengpass nach außen ausdehnte. Der gesamte DeFi-TVL der Top-20-Ketten sank um mehr als 13 Milliarden US-Dollar.

Keine Insolvenz, kein Gericht, kein Rechtsweg

Hier ist der Teil, der keine Schlagzeilen machen wird und den die Zuteiler verstehen müssen.

Innerhalb eines DeFi-Protokolls gibt es kein Insolvenzrecht. Wenn Sie sich zuerst zurückziehen, behalten Sie alles. Wenn Sie zu den Letzten gehören, ist das nicht der Fall – und Sie müssen möglicherweise einen unverhältnismäßig hohen Anteil der Verluste verkraften. Regulierte Kreditgeber sind gesetzlich verpflichtet, ihre Geschäftstätigkeit einzustellen, sobald sie feststellen, dass sie ihre Verbindlichkeiten nicht mehr begleichen können, und Insolvenzgerichte können sich von den Parteien, die ungerechtfertigt profitiert haben, zurückziehen. Die Abwicklungen von Celsius, BlockFi und FTX waren zermürbend, aber die Gläubiger erlangten ihre Vermögenswerte zurück und die Verantwortlichen standen vor einem Richter.

In DeFi gibt es keinen Prozess. Es gibt kein Gericht. Es gibt keine Erholung. Es gibt niemanden, den man zur Rechenschaft ziehen kann.

Das hat direkte Konsequenzen für die Risikodimensionierung. Wenn Sie den Gesamtschaden abschätzen können, aber nicht vorhersagen können, wie er sich verteilt, können Sie Ihr eigenes Risiko nicht abschätzen. Es kann Null sein. Es kann alles sein. Es hängt davon ab, wie schnell Sie sich bewegt haben und wie schnell sich die Menschen neben Ihnen bewegt haben.

Was passiert als nächstes?

DeFi wird nicht verschwinden. Die Architektur ist von echtem Nutzen, und erlaubnislose Märkte gab es schon immer – in jeder Anlageklasse und in jeder Zeit. Aber sie waren nie risikofrei und hatten immer einen Aufschlag gegenüber ihren regulierten Gegenstücken. Die 48 Stunden nach dem Vorfall vom 17. April erinnerten den Markt daran, dass in der Kette dieselbe Regel gilt.

Institutionelle Allokatoren, die das DeFi-Engagement für das kommende Jahr einschätzen, sollten das Signal ernst nehmen. Der AAVE-APR von 2,32 % vor dem letzten Wochenende spiegelte nicht das zugrunde liegende Risiko wider, und der Markt hat sich inzwischen angepasst. Wie sich die DeFi-Preise von hier aus festlegen, muss der Markt entscheiden. Aber die Fehlbewertung hat ein Ende. Das letzte Wochenende hat es bewiesen.