More-Markets-Exploit: Wie ein Liquid-Staking-Token und der E-Mode 9,3 Millionen Dollar aus dem Kreditmarkt zogen

Auf dem Kreditmarkt More Markets sind am 31. August 2026 rund 15,5 Millionen WFLOW abgeflossen, nach Einschätzung des Sicherheitsunternehmens Blockaid etwa 9,3 Millionen US-Dollar. Der Angreifer brauchte dafür keine gestohlenen Schlüssel und keine Lücke in der Blockchain darunter. Er benutzte zwei Bausteine, die in fast jedem größeren Kreditmarkt eingebaut sind: einen Liquid-Staking-Token als Sicherheit und den sogenannten E-Mode, der beide Seiten eines Kredits als gleichwertig behandelt.

Genau darin liegt der Grund, warum dieser Vorfall über eine kleine Kette hinaus etwas mit dir zu tun haben kann. Wenn du irgendwo gestaktes Ethereum beliehen hast oder einen Stablecoin gegen einen anderen Stablecoin, dann läuft deine Position mit hoher Wahrscheinlichkeit im selben Modus. Dieser Text erklärt, was nach dem heutigen Stand gesichert ist, was offen bleibt, wie der E-Mode funktioniert und welche vier Angaben du in deinem eigenen Kreditmarkt nachsehen kannst.

More-Markets-Exploit: Was am 31. August 2026 auf Flow EVM passiert ist

More Markets ist ein nicht-verwahrender Kreditmarkt von More Labs, der auf der Codebasis von Aave V3 aufsetzt und auf Flow EVM läuft. Nutzer hinterlegen dort Vermögenswerte, um Zinsen zu verdienen, oder stellen sie als Sicherheit, um gegen sie zu leihen. Zu den unterstützten Märkten gehören WFLOW und ankrFLOW.

Nach Angaben von Blockaid begann der Vorfall am 31. August 2026 um 07:58 UTC. Aus der Reserve mit der Bezeichnung mFlowWFLOW verschwanden 15,5 Millionen WFLOW. Die Zahl von rund 9,3 Millionen US-Dollar hat Blockaid ausdrücklich als erkannte Auswirkung bezeichnet und nicht als abschließende Schadenssumme; die endgültige Höhe steht noch nicht fest, weil die Transaktionen noch verfolgt werden. Das Sicherheitsunternehmen hat den Vorfall zuerst über seinen Kanal beim Kurznachrichtendienst X öffentlich gemacht, von wo ihn mehrere Fachmedien am selben Tag aufgenommen haben.

More Markets hat sich am selben Tag knapp geäußert und mitgeteilt, das eigene Team untersuche die Angaben zu einem Angriff und werde seine Ergebnisse teilen. Eine vollständige Nachbetrachtung des Vorfalls liegt zum Zeitpunkt dieses Textes nicht vor. Alles, was in diesem Artikel über den Ablauf steht, stammt deshalb aus der Beobachtung des Sicherheitsunternehmens und nicht aus einer Aufarbeitung des Protokolls selbst.

ankrFLOW und E-Mode: Wie der Angriff nach Blockaids Darstellung funktioniert hat

Die knappe Beschreibung von Blockaid lautet, der Angreifer habe einen gebondeten Liquid-Staking-Token von Ankr zusammen mit dem E-Mode benutzt, um die WFLOW-Reserve zu leeren. Ausführlicher gefasst: Der Wert der hinterlegten ankrFLOW-Bestände wurde im Protokoll höher angesetzt, als er tatsächlich war. Gegen diese zu hoch bewertete Sicherheit lieh sich der Angreifer echtes WFLOW und räumte damit die Reserve leer.

Wichtig ist, was in dieser Beschreibung nicht steht. Blockaid hat weder Ankr selbst noch die Flow-Blockchain als kompromittiert bezeichnet. Betroffen war nach dieser Darstellung allein die Anwendung More Markets, die auf Flow EVM läuft. Ob die Schwachstelle in der Umsetzung von More Markets lag, in der Art, wie der Ankr-Vermögenswert behandelt wurde, in den Annahmen zur Preisbildung oder im Zusammenspiel dieser Teile, ist bislang nicht geklärt.

Warum ein Kredit ohne Preismanipulation entstehen kann

Bei den beiden Vorfällen der vergangenen Woche lag der Hebel jeweils im Preis eines dünn gehandelten Tokens. Das lässt sich beobachten und im Nachhinein am Kursverlauf ablesen, wie es unsere Analyse zum Moonwell-Exploit auf Base vom 30. August beschreibt. Der hier geschilderte Weg ist ein anderer: Er setzt nicht zwingend voraus, dass ein Marktpreis nach oben getrieben wird. Es genügt, dass ein Protokoll den Wert einer Sicherheit aus einer Regel ableitet, die unter bestimmten Umständen nicht mehr zur Wirklichkeit passt.

E-Mode erklärt: Warum ein Kreditmarkt zwei Vermögenswerte als gleichwertig behandelt

Der E-Mode, ausgeschrieben Efficiency Mode, ist eine Einstellung in Aave V3, die für eng miteinander verbundene Vermögenswerte deutlich höhere Beleihungsgrenzen erlaubt. Die Idee dahinter ist naheliegend. Wer Ethereum als Sicherheit stellt und Ethereum leiht, trägt kaum ein Kursrisiko zwischen beiden Seiten, weil es dasselbe Gut ist. Wer gestaktes Ethereum stellt und Ethereum leiht, trägt fast kein Kursrisiko, weil beide Werte im Normalfall im Gleichschritt laufen.

Aave macht daraus eigene Kategorien. Jede Kategorie legt für die in ihr enthaltenen Vermögenswerte eigene Werte fest: die Beleihungsgrenze, die Schwelle, ab der zwangsverwertet wird, und den Aufschlag, den ein Liquidator bekommt. Der Unterschied ist erheblich. Nach den Angaben von Aave erlaubt eine gewöhnliche Beleihung von Ethereum rund 80 Prozent des hinterlegten Werts, während der E-Mode mit gestaktem Ethereum als Sicherheit und Ethereum als Kredit bis zu 93 Prozent zulässt.

Diese dreizehn Prozentpunkte klingen unscheinbar, verändern die Rechnung aber grundlegend. Bei 80 Prozent bleibt ein Fünftel des Sicherheitenwerts als Puffer stehen. Bei 93 Prozent sind es noch sieben Prozent. Ein Kurseinbruch, der im gewöhnlichen Modus folgenlos bliebe, führt im E-Mode zur Zwangsverwertung. Aave beschreibt die Einstellung in der eigenen Dokumentation zum Efficiency Mode und benennt dort auch die Grundannahme: Der Modus geht davon aus, dass verbundene Vermögenswerte verbunden bleiben.

Liquid Staking Token als Sicherheit: Was ein gebondetes LST von seinem Basiswert unterscheidet

Ein Liquid-Staking-Token ist eine handelbare Quittung über eine hinterlegte Staking-Position. Wer eine Kryptowährung stakt, bindet sie für eine bestimmte Zeit. Ein Liquid-Staking-Anbieter nimmt die Einlage entgegen, übernimmt das Staking und gibt dafür einen Token aus, der weiter gehandelt, verliehen und als Sicherheit gestellt werden kann. Bei Ethereum sind stETH oder rETH die bekanntesten Vertreter, bei Flow ist es das hier betroffene ankrFLOW.

Der entscheidende Punkt für jeden Kreditmarkt lautet: Dieser Token ist nicht dasselbe wie der Basiswert. Sein Wert leitet sich aus einer Position ab, die erst nach einer Wartezeit aufgelöst werden kann. Wie ein Protokoll diesen abgeleiteten Wert ansetzt, ist eine Entscheidung, die jedes Protokoll für sich trifft. Manche fragen einen Marktpreis ab. Andere rechnen den Wert aus dem Verhältnis von hinterlegter Menge zu ausgegebenen Quittungen aus. Beides hat Vor- und Nachteile, und beides kann unter Druck geraten.

Wer sich mit den Ertragsseiten dieser Produkte beschäftigt, findet die Anbieter und ihre Bedingungen im Überblick der besten Staking-Plattformen. Für diesen Text zählt die andere Seite: Ein Liquid-Staking-Token, der als Sicherheit dient, verbindet zwei Risiken miteinander, die vorher getrennt waren. Das Risiko des Stakings und das Risiko des Kreditmarkts hängen dann an derselben Position.

Was gesichert ist und was beim More-Markets-Exploit offen bleibt

Nach dem Stand vom Nachmittag des 31. August 2026 lässt sich der Vorfall sauber in drei Teile zerlegen. Gesichert ist die Bewegung auf der Kette: 15,5 Millionen WFLOW haben die Reserve verlassen, und Blockaid hat sowohl die auslösende Transaktion als auch die anschließenden Weiterleitungen der Mittel benannt. Gesichert ist ebenfalls die Einordnung des Sicherheitsunternehmens, dass ein gebondeter Liquid-Staking-Token und der E-Mode gemeinsam den Weg geöffnet haben.

Als Schätzung ausgewiesen ist der Betrag von rund 9,3 Millionen US-Dollar. Blockaid hat ihn als erkannte Auswirkung gekennzeichnet, was bedeutet: Die Summe kann nach oben oder unten von der endgültigen Zahl abweichen, je nachdem, wohin die Mittel geflossen sind und was davon zurückzuholen ist.

Offen bleibt die Ursache. Ob der Fehler in der Anpassung des Aave-Codes durch More Markets lag, in den Parametern der E-Mode-Kategorie, in der Preisquelle für ankrFLOW oder in einer Kombination daraus, hat bislang niemand belegt. Wer dir heute eine eindeutige Ursache nennt, geht über das hinaus, was öffentlich bekannt ist. Diese Zurückhaltung ist keine Förmlichkeit: Bei den Vorfällen der vergangenen Wochen hat sich die zuerst genannte Erklärung mehrfach verschoben, sobald die Aufarbeitung vorlag.

Aave-V3-Fork statt Aave: Warum die Parameter eines Ablegers andere sein können

Ein großer Teil der heutigen Kreditmärkte ist kein eigenständiger Entwurf, sondern eine Kopie eines etablierten Protokolls, die auf eine andere Kette gestellt und dort mit eigenen Werten bestückt wird. Der Fachbegriff dafür ist Fork. More Markets ist ein solcher Ableger von Aave V3.

Für dich als Nutzer folgt daraus ein Unterschied, der in der Oberfläche kaum sichtbar wird. Der Code mag derselbe sein, die Zahlen sind es nicht. Beleihungsgrenzen, Liquidationsschwellen, Obergrenzen für die geliehene Menge und die Wahl der Preisquelle legt jeder Ableger selbst fest, und er tut das für einen Markt, der oft erheblich dünner ist als der des Vorbilds. Dieselbe Einstellung, die auf einem tiefen Markt vertretbar ist, kann auf einem flachen Markt gefährlich sein.

Dazu kommt die Frage, wer die Werte überhaupt anpassen darf und wie schnell das geht. Der Ajna-Vorfall vom 29. August zeigte den Gegenpol: Dort war das Protokoll unveränderlich und kannte keine Verwaltung, weshalb es keinen Pausenknopf gab. Zwischen diesen beiden Enden bewegen sich fast alle Kreditmärkte, und wo genau ein Protokoll steht, entscheidet darüber, was im Ernstfall überhaupt möglich ist.

E-Mode-Position prüfen: Diese vier Angaben findest du in deinem Kreditmarkt

Hier wird der Vorfall praktisch. Wenn du eine offene Position in einem Kreditmarkt hast, kannst du heute vier Dinge nachsehen, und du brauchst dafür weder Programmierkenntnisse noch besondere Werkzeuge. Alle vier stehen in der Oberfläche des jeweiligen Protokolls oder in dessen Dokumentation.

Erstens: Läuft deine Position im E-Mode? Die Einstellung ist in der Regel ein Schalter in der Kontoansicht und trägt dort Bezeichnungen wie E-Mode, Efficiency Mode oder Correlated Assets. Ist er aktiv, gelten für dich die höheren Grenzen der jeweiligen Kategorie.

Zweitens: Wie weit ist deine Position von der Liquidationsschwelle entfernt? Die meisten Oberflächen zeigen dafür einen Gesundheitswert. Liegt er nahe bei eins, reicht eine kleine Bewegung. Der Puffer im E-Mode ist konstruktionsbedingt schmaler, deshalb ist derselbe Zahlenwert dort weniger beruhigend als im gewöhnlichen Modus.

Depeg im E-Mode: Was passiert, wenn zwei Werte auseinanderlaufen

Ein Depeg ist das Auseinanderlaufen zweier Werte, die eigentlich im Gleichschritt laufen sollten. Bei einem Liquid-Staking-Token bedeutet das, dass die Quittung am Markt weniger wert ist als die Position, die sie vertritt. Das kommt vor, wenn viele Halter gleichzeitig aussteigen wollen, während die Auflösung der Staking-Position Zeit braucht.

Im gewöhnlichen Modus ist ein solches Auseinanderlaufen unangenehm. Im E-Mode kann es die Position beenden, obwohl dir wirtschaftlich nichts abhandengekommen ist. Deine Sicherheit vertritt weiterhin dieselbe Menge des Basiswerts, aber der Preis, den das Protokoll ansetzt, ist gefallen, und der schmale Puffer fängt das nicht mehr auf. Aave nennt genau das als das wesentliche Risiko dieser Einstellung.

Wer die Ertragsseite und die Risikoseite von Kreditmärkten nebeneinander sehen will, findet die Anbieter und ihre Bedingungen im Vergleich der Krypto-Lending-Plattformen; die grundsätzliche Mechanik von Zins und Risiko haben wir in unserem Beitrag zu den Zinsen und Risiken beim Krypto-Lending vom 16. August 2026 auseinandergenommen.

Bad Debt: Wer den Ausfall in einem Kreditmarkt am Ende trägt

Bad Debt bezeichnet einen Kredit, dem keine ausreichende Sicherheit mehr gegenübersteht und der sich auch durch Zwangsverwertung nicht mehr decken lässt. Diese Lücke verschwindet nicht, sie wandert. In einem Kreditmarkt trifft sie zuerst die Einleger derjenigen Reserve, aus der geliehen wurde.

Auf More Markets ist die betroffene Reserve die WFLOW-Reserve. Wer dort WFLOW hinterlegt hat, um Zinsen zu verdienen, hängt damit an einem Vorgang, an dem er selbst nicht beteiligt war und für den er keine Entscheidung getroffen hat. Das ist der unangenehmste Zug an Vorfällen dieser Art, und er wiederholt sich: Bei dem oben erwähnten Vorfall auf Base traf die offene Lücke Einleger, die den auslösenden Token nie angefasst hatten.

Drittens in der Reihe der Angaben, die du nachsehen kannst: In welchem Markt genau liegt deine Einlage? Viele Protokolle trennen zwischen einem Kernmarkt, in dem sich mehrere Vermögenswerte eine gemeinsame Haftung teilen, und abgetrennten Märkten, in denen ein Ausfall eingegrenzt bleibt. Diese Unterscheidung entscheidet darüber, ob dich ein Ausfall in einem ganz anderen Vermögenswert erreichen kann.

Viertens: Woher bezieht das Protokoll den Preis deiner Sicherheit? Die Antwort steht in der Dokumentation, meist unter Stichworten wie Oracle oder Price Feed. Wenn dort eine einzelne Handelsstelle als Quelle genannt wird und der Vermögenswert dünn gehandelt ist, kennst du die Schwachstelle.

Was du tun kannst, ohne die Position zu schließen

Zwischen Nichtstun und vollständigem Ausstieg liegt einiges. Du kannst den E-Mode abschalten, wenn dein Puffer es zulässt, und damit auf die gewöhnlichen Grenzen zurückgehen. Du kannst Sicherheiten nachlegen und den Abstand zur Schwelle vergrößern. Und du kannst eine Position, die auf einem Ableger mit dünnem Markt liegt, auf das Protokoll verlegen, dessen Parameter von einer breiteren Aufsicht getragen werden. Welcher dieser Wege für dich sinnvoll ist, hängt von deiner Position ab; keiner davon ist eine Empfehlung für alle.

Steuer und Nachweis: Was du bei einem Exploit dokumentieren solltest

Unabhängig davon, ob dich dieser Vorfall betrifft, gilt für jeden Ausfall in einem Kreditmarkt derselbe Rat: Sichere die Belege, solange sie noch abrufbar sind. Dazu gehören die Adresse deiner Position, die Transaktionsnummern von Einzahlung und Abfluss, der Kontostand vor und nach dem Ereignis sowie ein Ausdruck der Protokolloberfläche mit Datum.

Ob und wie sich ein solcher Verlust steuerlich auswirkt, ist eine Frage des Einzelfalls und der Umstände, die ein Steuerberater beurteilen muss. Was du selbst beeinflussen kannst, ist die Beweislage. Oberflächen von Protokollen verschwinden nach Vorfällen erfahrungsgemäß schnell, und was du heute noch herunterladen kannst, ist in einigen Wochen womöglich nicht mehr erreichbar.

Flow und Ankr: Was nach dem Stand der Meldungen nicht betroffen ist

Weil sich Meldungen über Vorfälle im Umlauf oft verselbstständigen, gehört die Abgrenzung ausdrücklich hierher. Nach der Darstellung von Blockaid gab es keinen Hinweis darauf, dass Ankr selbst betroffen war, und ebenso wenig darauf, dass die Flow-Blockchain oder deren Infrastruktur beeinträchtigt wurden. Beschrieben wurde ein Vorfall in einer einzelnen Anwendung, die auf Flow EVM läuft.

Diese Unterscheidung ist keine Spitzfindigkeit. Für dich macht sie den Unterschied zwischen einer Kette, deren Guthaben in Frage steht, und einer Kette, auf der eine von vielen Anwendungen Schaden genommen hat. Wenn du auf Flow Bestände hältst, die nichts mit diesem Kreditmarkt zu tun haben, ist nach dem bisher öffentlich Bekannten kein Handeln erforderlich. Wie sich das darstellt, sobald eine vollständige Aufarbeitung vorliegt, bleibt abzuwarten.

Kreditmärkte ohne eigene Prüfung: Wo die Verantwortung liegt

Es gibt einen Grund, warum diese Art von Vorfall in beaufsichtigten Angeboten so nicht vorkommt: Dort trifft ein Anbieter die Entscheidungen über Sicherheiten und Beleihung, und er haftet für sie. In einem offenen Kreditmarkt liegt diese Prüfung bei dir. Das ist der Preis für den unmittelbaren Zugang, und wer ihn nicht zahlen möchte, findet in der Übersicht der regulierten Krypto-Börsen die beaufsichtigten Alternativen samt ihrer Bedingungen. Für ein Verständnis der Kurse, gegen die solche Positionen laufen, hilft der Blick auf unsere Ethereum-Kursprognose, weil die meisten E-Mode-Kategorien am Ende an diesem Wert hängen.

Die Zahl der Vorfälle in Kreditmärkten war in den vergangenen Tagen auffällig hoch, und alle folgten unterschiedlichen Wegen. Ein Muster daraus abzuleiten wäre voreilig, weil die Aufarbeitungen noch ausstehen. Was sich sagen lässt, ist bescheidener und trotzdem nützlich: Die Bausteine, die hier auseinandergenommen wurden, stecken in vielen Protokollen, und ihre Werte sind nachlesbar.

E-Mode-Sicherheiten prüfen: Was du daraus mitnimmst

1. Sieh nach, ob deine Position im E-Mode läuft und wie schmal der Puffer wirklich ist. Der Schalter steht in der Kontoansicht deines Protokolls, der Abstand zur Liquidationsschwelle im Gesundheitswert daneben. Welche Anbieter welche Grenzen setzen, zeigt der Vergleich der Krypto-Lending-Plattformen.
2. Prüfe, woher der Preis deiner Sicherheit kommt, besonders bei Liquid-Staking-Token. Steht in der Dokumentation eine einzelne dünne Handelsstelle als Quelle, kennst du dein größtes Risiko. Wer die Ertragsseite dieser Token nebeneinander sehen will, findet sie in der Übersicht der besten Staking-Plattformen.
3. Entscheide bewusst, wie viel eigene Prüfung du leisten willst. Wer die Parameter eines Ablegers nicht regelmäßig nachsehen möchte, ist bei einem beaufsichtigten Anbieter besser aufgehoben; die Bedingungen stehen im Überblick der regulierten Krypto-Börsen.

Der Vorfall ist am selben Tag von mehreren Fachmedien aufgegriffen worden; die ausführlichste Darstellung mit den Angaben von Blockaid findest du bei crypto.news.

(Stand: 31. August 2026. Dieser Beitrag ist keine Anlageberatung. Kurse und Gebührenmodelle ändern sich; prüfe die Konditionen vor jedem Kauf beim Anbieter selbst.)