DeFi-exploit veroorzaakt kettingreactie: meerdere leenprotocollen geraakt door onderpandmisbruik

Een grote exploit in DeFi heeft in korte tijd laten zien hoe kwetsbaar het systeem nog altijd is wanneer hetzelfde onderpand op meerdere plekken tegelijk wordt gebruikt. Dit keer ging het niet om een klassieke hack waarbij geld rechtstreeks uit een protocol werd getrokken.

De echte schade ontstond pas daarna, toen buitgemaakte rsETH-tokens als onderpand werden ingezet om elders echte liquiditeit te lenen. Daardoor sloeg een geïsoleerde aanval om in een veel bredere stresstest voor het leenverkeer in DeFi.

De aanleiding ligt bij de exploit rond Kelp DAO’s rsETH. Bloomberg meldde eerder deze week dat een hack van ongeveer 285 miljoen dollar opnieuw twijfels opriep over de volwassenheid van DeFi. CoinDesk schreef maandag dat de besmetting zich daarna verder doorzette, met meer dan 13 miljard dollar aan verdwenen total value locked in twee dagen tijd, mede door zorgen over blootstelling op Aave.

Wat deze zaak zo gevoelig maakt, is dat de aanval niet ophield bij het stelen van tokens. Volgens on-chain samenvattingen en berichtgeving over de nasleep gebruikten aanvallers de buitgemaakte rsETH vervolgens als onderpand op Aave V3 om WETH en andere echte assets te lenen. Zodra duidelijk werd dat dat onderpand besmet of ongedekt was, ontstond een probleem dat verder reikte dan Kelp DAO zelf.

Daarmee verschoof het incident van protocolhack naar systeemrisico. Want zodra dezelfde asset op meerdere plekken als betrouwbaar onderpand is geaccepteerd, kan een fout of exploit op één plek automatisch druk zetten op andere protocollen. En precies dat gebeurde hier.

Aave bevestigde op zijn governanceforum dat het op 18 april werd gealarmeerd over een mogelijk rsETH-incident en daarna rsETH- en wrsETH-markten op verschillende deployments bevroor. Het protocol benadrukte dat zijn eigen smart contracts niet direct waren aangevallen, maar dat het wel moest ingrijpen vanwege het risico rond het gebruikte onderpand.

De bredere marktreactie was fors. CoinDesk meldde dat Aave’s TVL in korte tijd hard terugviel en dat het debat zich snel verplaatste van de technische oorzaak naar de vraag wie eventuele verliezen moet dragen. In dezelfde berichtgeving wordt gesproken over vrees voor ongeveer 195 miljoen dollar aan bad debt nadat de aanvaller met het besmette onderpand echte liquiditeit had geleend.

Dat maakt het incident zwaarder dan een gewone exploit. De schade zit dan niet alleen in wat is gestolen, maar ook in wat daarna uit het systeem is weggeleend op basis van onderpand dat achteraf niet meer deugde.

En precies daar zit de echte les. DeFi wordt vaak verkocht als transparant en automatisch, maar dat betekent niet dat risico’s vanzelf goed geïsoleerd zijn. Wanneer meerdere protocollen dezelfde tokens als onderpand accepteren, ontstaat een netwerk van onderlinge afhankelijkheden dat in rustige tijden efficiënt oogt, maar in stresssituaties juist gevaarlijk kan werken.

Dat patroon is niet nieuw, maar zelden zo zichtbaar. De exploit liet zien dat transparantie op de blockchain nog niet hetzelfde is als beheersbaarheid van systeemrisico. Iedereen kan in theorie zien welk onderpand waar ligt, maar dat voorkomt niet automatisch dat liquidaties, prijsdruk en bad debt zich razendsnel verspreiden zodra het vertrouwen wegvalt.

Voor de sector is dit extra pijnlijk omdat DeFi juist beweert robuuster te zijn door openheid en automatisering. Maar bij dit soort incidenten blijkt opnieuw dat financiële logica net zo kwetsbaar kan zijn als code. Een protocol kan technisch netjes werken en toch in de problemen komen als het onderpandmodel besmet raakt.

Bloomberg koppelde de exploit bovendien aan een bredere terugslag voor DeFi, in een periode waarin yields al waren gedaald en activiteit op meerdere netwerken afkoelde. Dan komt een groot incident als dit niet alleen boven op bestaande twijfel, maar versterkt het ook het beeld dat de sector nog steeds structurele kwetsbaarheden meesleept.

Tegelijk hoeft zo’n incident niet alleen negatief te eindigen. In DeFi heeft de sector vaker pas na grote schade serieuze verbeteringen doorgevoerd. Denk aan strengere eisen voor onderpand, snellere freezes, betere scheiding tussen risicovolle assets en kernmarkten, en scherpere limieten voor wat überhaupt als collateral wordt toegelaten. Dat is hier waarschijnlijk opnieuw de richting waarin het debat zal bewegen.

Op het moment van schrijven staat nog niet alles definitief vast. De precieze technische oorzaak, de uiteindelijke omvang van de verliezen en de verdeling van de schade over betrokken partijen zijn nog onderwerp van analyse.

Aave heeft zelf gezegd dat het de informatie rond rsETH-leningen en mogelijke verliezen blijft beoordelen. Ook in bredere marktdekking lopen de schattingen van bad debt en impact nog uiteen.

Juist daarom kunnen we dit incident nog niet dicht timmeren als volledig uitgelegd verhaal. Maar één conclusie staat al wel stevig: deze aanval raakte niet alleen een protocol, maar legde een zwakke plek bloot in de manier waarop DeFi risico over meerdere platforms verspreidt.