De DeFi-exploit van $293 miljoen die een verborgen zwakte blootlegde

Op 18 april 2026 werd het gedecentraliseerde financiële ecosysteem geconfronteerd met een van de meest significante beveiligingslekken van het jaar. In een zeer gecoördineerde aanval werd ongeveer $290–293 miljoen aan activa, ongeveer 116.500 rsETH, gedraineerd van KelpDAO's bridge-infrastructuur.

Op het eerste gezicht lijkt het misschien op eerdere DeFi-exploits. Maar dit incident onderscheidt zich om een cruciale reden: het werd niet veroorzaakt door een fout in de logica van een smart contract. In plaats daarvan legde het een diepere en zorgwekkendere kwetsbaarheid bloot: de kwetsbaarheid van off-chain infrastructuur waar veel protocollen stilletjes van afhankelijk zijn. Dit onderscheid is belangrijk. Want hoewel smart contracts in de loop der tijd veiliger zijn geworden, worden de systemen eromheen nu het primaire aanvalsoppervlak.

Bron : @Jeremybtc

Wat is KelpDAO?

KelpDAO is een liquid restaking protocol, voornamelijk gebouwd op Ethereum, ontworpen om de kapitaalefficiëntie te verbeteren voor gebruikers die deelnemen aan staking-ecosystemen. Door integraties met restaking-frameworks zoals EigenLayer stelt KelpDAO gebruikers in staat om ETH opnieuw te staken en een liquid derivative token, rsETH, te ontvangen. Dit token kan vervolgens worden ingezet in DeFi voor leningen, onderpand of handel, waardoor gebruikers effectief rendement kunnen verdienen met behoud van liquiditeit.

Begin 2026 was rsETH uitgegroeid tot een belangrijke asset binnen het restaking-landschap, diep geïntegreerd in meerdere DeFi-protocollen. Een belangrijk onderdeel van deze uitbreiding berustte op cross-chain functionaliteit, gefaciliteerd door infrastructuur zoals LayerZero. Die afhankelijkheid werd echter de zwakste schakel van het protocol.

Bron : @kelpDao

Tijdlijn van de aanval

De exploit ontvouwde zich snel, wat benadrukt hoe snel moderne aanvallen kunnen escaleren. Om 17:35 UTC startten aanvallers de reeks door een vervalst cross-chain bericht in te dienen. Het bericht gaf valselijk aan dat een grote hoeveelheid rsETH was verbrand op Unichain, een L2-omgeving geassocieerd met Uniswap. Omdat het systeem was geconfigureerd met een single-verifier setup, werd het bericht geaccepteerd zonder voldoende redundantiecontroles. Dit leidde tot de vrijgave van ongeveer 116.500 rsETH van op Ethereum gebaseerde escrow-contracten naar wallets die onder controle stonden van de aanvallers.

Binnen enkele minuten waren de fondsen verdwenen. Ongeveer 46 minuten later greep KelpDAO's nood-multisig in, waardoor het protocol werd gepauzeerd. Twee daaropvolgende pogingen om nog eens 80.000 rsETH ter waarde van ongeveer $200 miljoen te drainen, werden succesvol geblokkeerd dankzij deze reactie. Ondanks de gedeeltelijke indamming was de grootste schade reeds aangericht.

Hoe de aanval werkte

Wat deze exploit bijzonder belangrijk maakt, is de methode. In plaats van een bug in de smart contract-code te exploiteren, richtten de aanvallers zich op de infrastructuurlaag die cross-chain communicatie valideert. De aanval omvatte meerdere gecoördineerde stappen:

1. Ten eerste werden RPC-nodes die werden gebruikt door LayerZero's verifieernetwerk gecompromitteerd of gemanipuleerd. Dit gaf aanvallers controle over hoe verificatiegegevens werden geïnterpreteerd.
2. Ten tweede werd een gedistribueerde denial-of-service (DDoS)-aanval gelanceerd tegen legitieme nodes. Dit dwong het systeem om te vertrouwen op fallback-nodes, waarvan sommige onder invloed van de aanvallers stonden. Met deze controle creëerden de aanvallers een vervalst bericht dat geldig leek binnen het vertrouwensmodel van het systeem.
3. Ten slotte, vanwege KelpDAO's 1-uit-1 verifieerconfiguratie, was één enkele goedkeuring voldoende om de vrijgave van fondsen te autoriseren.

Deze configuratiekeuze, waarschijnlijk gemaakt om latentie en kosten te verminderen, elimineerde redundantie. En in beveiligingssystemen is een gebrek aan redundantie vaak gelijk aan een single point of failure.

Toeschrijving: De rol van Lazarus Group

Beveiligingsbedrijven, waaronder LayerZero en Chainalysis, hebben de aanval met grote zekerheid toegeschreven aan de Lazarus Group, een door de staat gesponsorde hackorganisatie gelinkt aan Noord-Korea. Meer specifiek wordt de subgroep bekend als “TraderTraitor” verantwoordelijk geacht.

Dit is geen geïsoleerd incident. In dezelfde maand werd Lazarus ook in verband gebracht met:

1. De Drift Protocol-exploit, die resulteerde in verliezen van ongeveer $285 miljoen
2. Een kleinere, maar gerelateerde aanval op Hyperbridge

Wat opvalt, is het patroon. Dit zijn geen opportunistische hacks die eenvoudige kwetsbaarheden uitbuiten. Het zijn langdurige, gerichte operaties, vaak met maanden van voorbereiding en meerdere aanvalsvectoren. De focus is duidelijk verschoven naar hoogwaardige infrastructuur: bridges, restaking-systemen en cross-chain protocollen.

Onmiddellijke impact op het DeFi-ecosysteem

De gevolgen van de aanval waren onmiddellijk en wijdverspreid. Het rsETH-token verloor snel zijn 'peg', wat instabiliteit op uitleenplatforms veroorzaakte. Protocollen zoals Aave en andere gingen snel over tot het bevriezen of beperken van rsETH als onderpand om verdere systemische risico's te voorkomen. Deze reactie, hoewel noodzakelijk, droeg bij aan een bredere liquiditeitsschok.

Binnen enkele dagen werd meer dan $13 miljard aan totale waarde onttrokken aan DeFi-platforms – een van de snelste kapitaaluitstromen die de afgelopen jaren zijn waargenomen. Het incident benadrukte een belangrijke realiteit: moderne DeFi is sterk onderling verbonden. Een storing in één component, vooral een bridge, kan zich verspreiden over meerdere systemen, waardoor liquiditeit, de stabiliteit van onderpand en het gebruikersvertrouwen tegelijkertijd worden beïnvloed.

Lessen voor protocollen en gebruikers

De KelpDAO-exploit versterkt verschillende cruciale lessen voor de industrie.

1. Ten eerste is redundantie niet langer optioneel. Systemen die afhankelijk zijn van single verifiers of vereenvoudigde vertrouwensmodellen zijn inherent kwetsbaar. Configuratie met meerdere verifiers en gedecentraliseerde validatiemechanismen moeten als basisvereisten worden beschouwd.
2. Ten tweede moet beveiliging verder gaan dan smart contracts. Off-chain infrastructuur – RPC-nodes, oracles en verificatielagen – moeten met dezelfde mate van zorgvuldigheid worden behandeld als on-chain code.
3. Ten derde zijn responsmechanismen van belang. Hoewel KelpDAO aanzienlijke verliezen leed, voorkwam het snelle pauzemechanisme verdere schade. Dit toont de waarde aan van goed gedefinieerde noodcontroles.
4. Voor gebruikers is de les even duidelijk. Overmatige blootstelling aan een enkele asset of een enkel protocol – vooral een dat afhankelijk is van complexe infrastructuur – kan het risico vergroten. Diversificatie en bewustzijn van onderliggende mechanismen zijn essentieel.

Een keerpunt voor DeFi-beveiliging

Deze aanval, gecombineerd met andere spraakmakende exploits in 2026, markeert een verschuiving in hoe DeFi beveiliging moet benaderen. De industrie heeft aanzienlijke vooruitgang geboekt in smart contract auditing en formele verificatie. Maar aanvallers hebben zich aangepast. Ze richten zich nu op de lagen die buiten de blockchain zelf liggen: de interfaces, communicatiekanalen en vertrouwensaannames die schaalbaarheid mogelijk maken. Deze evolutie vereist een overeenkomstige mentaliteitsverandering. Beveiliging kan niet langer worden behandeld als een afvinklijstje dat vóór de implementatie wordt voltooid. Het moet worden geïntegreerd in elke laag van het systeem, continu worden getest en ontworpen met vijandige omstandigheden in gedachten. Protocollen die deze verschuiving erkennen en dienovereenkomstig investeren, zullen beter gepositioneerd zijn om het vertrouwen van gebruikers te behouden in een steeds vijandigere omgeving.

Conclusie

De KelpDAO-exploit van $293 miljoen is niet zomaar een item op de lijst van DeFi-hacks. Het is een case study over hoe moderne aanvallen evolueren en waar de volgende kwetsbaarheden waarschijnlijk zullen opduiken. Het kernprobleem was geen defect contract, maar een fragiele verbinding. Naarmate DeFi blijft schalen en onderling verbinden, worden deze verbindingen zowel de grootste kracht als het grootste risico. De les is duidelijk: snelheid en efficiëntie mogen niet ten koste gaan van veerkracht. Want in de huidige omgeving zijn de gevaarlijkste kwetsbaarheden niet altijd zichtbaar in de code; ze bestaan in de aannames erachter.

Disclaimer

Dit artikel is uitsluitend bedoeld voor informatieve en educatieve doeleinden. Het vormt geen financieel, beleggings- of handelsadvies. Cryptocurrencies en DeFi brengen aanzienlijke risico's op verlies met zich mee. Doe altijd uw eigen onderzoek en wees voorzichtig.