Aave trekt lessen uit megahack van $230 miljoen en scherpt DeFi-risicobeheer aan

De recente Aave hack van ruim 230 miljoen dollar zorgt voor een belangrijke koerswijziging binnen de DeFi-sector. Opvallend genoeg lag de oorzaak niet bij een fout in de software van Aave zelf. De aanval ontstond bij een externe brug tussen blockchains, waardoor opnieuw duidelijk wordt dat risico’s binnen crypto veel verder gaan dan alleen smart contracts.

Aave heeft daarom aangekondigd zijn beoordelingsproces voor nieuwe assets grondig te herzien. Volgens het protocol moeten niet alleen de tokens zelf, maar ook de onderliggende infrastructuur voortaan veel strenger worden gecontroleerd.

Hoe ontstond de Aave hack?

De aanval draaide om rsETH, een token van KelpDAO. Dit is een zogenoemde restaking-token. Restaking geeft gebruikers de mogelijkheid om eerder gestakete Ethereum opnieuw in te zetten binnen andere protocollen om extra rendement te verdienen.

Om rsETH tussen verschillende blockchains te verplaatsen, gebruikt KelpDAO een cross-chain bridge van LayerZero. Een cross-chain bridge is technologie die berichten en tokens tussen verschillende blockchains doorstuurt.

Volgens het officiële onderzoek ging het mis toen een verificatiesysteem binnen deze bridge een vervalst bericht goedkeurde. Daardoor kon een aanvaller 116.500 rsETH-tokens creëren zonder dat daar echte Ethereum tegenover stond.

Deze tokens werden vervolgens als onderpand gestort op Aave. De aanvaller gebruikte het onderpand om leningen af te sluiten. Toen later bleek dat de rsETH geen werkelijke waarde had, bleef Aave achter met een groot verlies.

Het probleem zat niet in de code van Aave

Volgens Aave functioneerde het protocol precies zoals ontworpen. De smart contracts deden wat ze moesten doen. Het probleem ontstond doordat een extern systeem onjuiste informatie doorgaf.

Dat onderscheid is belangrijk. Jarenlang lag de focus binnen DeFi vooral op het controleren van smart contracts. Projecten investeerden miljoenen in audits om programmeerfouten op te sporen.

De aanval van april laat volgens Aave zien dat die aanpak niet langer voldoende is. Naarmate protocollen sterker met elkaar verbonden raken, ontstaat een nieuwe categorie risico’s die buiten de eigen software ligt.

Nieuwe regels voor assets op Aave

Als gevolg van de hack gaat Aave zijn risicobeoordeling uitbreiden.

Waar eerder vooral werd gekeken naar factoren zoals liquiditeit, marktwaarde en code-audits, komen daar nu extra controles bij. Het protocol wil onder meer de betrouwbaarheid van bridges, prijsoracles, externe contracten en beveiligingsprocessen beoordelen voordat een asset als onderpand wordt toegelaten.

Een oracle is een systeem dat externe gegevens, zoals cryptoprijzen, naar een blockchain brengt. Veel DeFi-toepassingen kunnen niet functioneren zonder deze informatie.

Volgens Aave moeten deze onderdelen voortaan net zo belangrijk worden als de kwaliteit van de smart contracts zelf.

Automatische bescherming tegen toekomstige incidenten

Naast strengere controles werkt Aave aan nieuwe veiligheidsmechanismen.

Een van de voorstellen is een systeem dat automatisch ingrijpt zodra een asset bepaalde risicogrenzen overschrijdt. In zo’n situatie kan de leenwaarde van een token direct worden teruggebracht naar nul.

Hierdoor verliezen verdachte assets onmiddellijk hun functie als onderpand. Dat moet voorkomen dat problemen zich verder verspreiden door het protocol.

Sinds de hack heeft Aave al honderden aanpassingen doorgevoerd binnen zijn V3-markten om de blootstelling aan risicovolle assets te beperken.

Wat betekent dit voor crypto-investeerders?

De gebeurtenis onderstreept hoe complex het moderne DeFi-landschap is geworden. Voor beleggers is het niet langer voldoende om alleen naar een protocol zelf te kijken. Ook de externe infrastructuur speelt een steeds grotere rol.

Bridges, oracles en andere tussenlagen vormen vaak de verbinding tussen verschillende ecosystemen. Wanneer één van die schakels faalt, kunnen de gevolgen groot zijn, zelfs als de onderliggende protocollen technisch goed functioneren.

De Aave hack laat zien dat de volgende generatie crypto-risico’s zich niet altijd in de code bevindt, maar juist in de netwerken en systemen die alles met elkaar verbinden.

Conclusie

De exploit van rsETH heeft een belangrijke zwakke plek binnen DeFi blootgelegd. Hoewel Aave zelf geen programmeerfout bevatte, liep het protocol toch honderden miljoenen dollars schade op door een probleem bij een externe bridge.

Met strengere toelatingsregels en nieuwe automatische beschermingsmaatregelen probeert Aave soortgelijke incidenten in de toekomst te voorkomen. Tegelijkertijd laat deze gebeurtenis zien dat risicobeheer binnen DeFi steeds breder wordt. Niet alleen de kwaliteit van een protocol telt, maar ook de veiligheid van de infrastructuur waarop het vertrouwt.

FAQ

Wat was de oorzaak van de Aave hack?

De aanval ontstond door een fout in een verificatiesysteem van een cross-chain bridge die werd gebruikt voor rsETH. Daardoor kon een aanvaller tokens creëren zonder echte dekking.

Wat is rsETH?

rsETH is een restaking-token van KelpDAO. Het vertegenwoordigt Ethereum die gebruikers opnieuw inzetten binnen verschillende protocollen om extra rendement te verdienen.

Waarom past Aave zijn regels aan?

Aave wil voortaan niet alleen smart contracts beoordelen, maar ook de veiligheid van bridges, oracles en andere externe systemen. Daarmee hoopt het protocol toekomstige risico’s sneller te herkennen.