Crypto verliest $110 miljoen terwijl audits gaten missen
$110 miljoen verdween in juli door hacks. Niet door één domme fout, maar door code die door controles heen glipte.
Nieuwe cijfers van Immunefi zetten daarmee een ongemakkelijke vraag op tafel. Hoeveel zekerheid geeft een audit nog als ernstige lekken pas later door externe onderzoekers worden gevonden?
Juli laat opnieuw zien hoe duur één fout wordt
De cryptosector verloor in juli ongeveer $110 miljoen aan hacks. In dezelfde maand betaalde Immunefi $2,32 miljoen uit aan security researchers voor bevestigde bugs.
Het aantal bevestigde en uitbetaalde bugmeldingen steeg met 18%. Dat is goed nieuws voor protocollen die lekken vóór aanvallers vinden. Het is slecht nieuws voor iedereen die dacht dat audits het probleem al hadden opgelost.
Vooral DeFi blijft gevoelig. DeFi betekent financiële apps zonder bank of broker, vaak aangestuurd door smart contracts. Als die code faalt, kan geld direct weg zijn.
Auditdata geeft een harde waarschuwing
De scherpste cijfers zitten niet bij de hacks zelf, maar bij de controles vooraf. Immunefi analyseerde 1.178 audits van grote auditpartijen.
De mediaan lag op nul gevonden kwetsbaarheden met hoge of kritieke ernst. Dat klinkt schoon. Te schoon.
Daarna keek het bedrijf naar 58 audit competitions op zijn eigen platform. Bij zulke wedstrijden bekijken meerdere onafhankelijke onderzoekers dezelfde code. Ze krijgen betaald wanneer hun melding geldig is.
Volgens Immunefi vonden die wedstrijden gemiddeld 6,2 ernstige bugs per opdracht. Bij traditionele tier-1-audits lag dat gemiddelde volgens dezelfde analyse op 1,5.
Dat maakt klassieke audits niet waardeloos. Het laat wel zien dat één controle vóór lancering te dun kan zijn voor code waar miljoenen doorheen lopen.
Immunefi heeft belang bij deze vergelijking
Er hoort een kanttekening bij. Immunefi verkoopt zelf bug bounties, audits en audit competitions.
Het bedrijf heeft dus een direct commercieel belang bij cijfers die doorlopende beveiliging beter laten lijken dan klassieke audits. Die spanning moet je niet wegpoetsen.
Toch past de uitkomst bij een bredere lijn in de sector. Immunefi meldt op zijn officiële audit competition-pagina dat projecten in 80% van de gevallen kritieke kwetsbaarheden vinden die eerder door topaudits waren gemist.
Daarbij claimt het platform meer dan 10.000 bugrapporten uit audit competitions en ruim $6 miljoen aan uitbetalingen aan onderzoekers. Dat is geen randactiviteit meer. Dat is een parallel controlesysteem.
Een audit is een momentopname. Een bug bounty is een open deur voor iedereen die beter kijkt dan de aanvaller.
Een kritieke bug kost weinig vergeleken met een exploit
De rekensom is hard. Volgens Immunefi kostte het vinden van een kritieke kwetsbaarheid via een audit competition gemiddeld $6.548. Een private tier-1-audit lag volgens het bedrijf rond $66.000.
De andere kant van die som is veel zwaarder. Immunefi’s onderzoek naar onchain hacks kwam uit op een gemiddelde directe schade van ongeveer $24,5 miljoen per hack in 2024 en 2025.
Daar stopt de schade niet. Getroffen tokens verloren volgens dat onderzoek na zes maanden mediaan 61% van hun waarde. Ook zag Immunefi dat teams minimaal drie maanden kwijt kunnen zijn aan herstel, fixes en vertraagde productontwikkeling.
Voor gebruikers betekent dat twee risico’s tegelijk. Je kunt geld verliezen in het protocol zelf. Daarna kan de token ook nog dalen omdat vertrouwen wegvalt.
374 dreigingen in één maand gestopt
Security researchers werden in juli opnieuw drukker. Immunefi zegt dat via zijn bug bounty-programma’s 374 dreigingen zijn voorkomen.
In juni waren dat er 317. In mei ging het om 339. De totale uitbetalingen via het platform liepen op naar $143,1 miljoen, tegenover $140,8 miljoen een maand eerder.
Een eerdere analyse van Immunefi over 593 langdurige bug bounty-programma’s maakt het probleem nog groter. Van de programma’s die vijf jaar of langer liepen, vond 93,9% minstens één bevestigde kritieke kwetsbaarheid.
Ook vond ongeveer 70% van de actieve programma’s in een gemiddeld jaar minstens één bug met hoge of kritieke ernst.
Dat is de kern. Niet alleen slechte projecten hebben lekken. Lang levende code krijgt nieuwe functies, nieuwe koppelingen en nieuwe aanvalspunten.
Wat gebruikers hieruit moeten halen
Voor Nederlandse en Belgische cryptogebruikers is de les simpel. Een bekende auditnaam naast een protocol is geen veiligheidsgarantie.
Wie crypto in een eigen wallet bewaart en verder niets doet, loopt vooral bewaar- en phishingrisico. Wie vermogen in lending, bridges, stakingdiensten of andere DeFi-apps zet, leunt ook op de code van anderen.
Dat verschil telt. Bij een smart contract-fout is er vaak geen helpdesk die de transactie terugdraait.
De markt schuift daarom naar doorlopende beveiliging. Audits blijven nuttig, maar bug bounties en herhaalde controles worden belangrijker na elke upgrade.
Juli leverde weer $110 miljoen aan schade op. De vraag is nu niet of protocollen bugs hebben, maar wie ze als eerste vindt.
Stop met te veel betalen voor je crypto. Bij de Amsterdamse exchange Finst handel je tegen de laagste tarieven van Nederland, zonder verborgen kosten.
👀 Bekijk Finst nu ›Let op: Beleggen in crypto brengt risico’s met zich mee. Handel alleen met geld dat u kunt missen.
Ga verder met lezen
Dit vind je misschien ook leuk
Laat mensen jouw mening weten
Lees ook
Populair Nieuws
Loading
