DeFi verliest $13 miljard in één maand: KelpDAO-reddingsactie toont zwaktes en kracht van DeFi

De Decentralized Finance (DeFi)-sector heeft deze maand een verlies van ruim $13 miljard geleden na een grote aanval op het rsETH-systeem van KelpDAO. Een reddingsactie via DeFi United toont zowel de veerkracht als de kwetsbaarheden van het gedecentraliseerde financiële ecosysteem.

De reddingsactie: 69.550 ETH opgehaald

Volgens de officiële website van DeFi United is er ruim 69.550 ETH opgehaald uit 222 verschillende wallets via 1.623 transacties. Dit bedrag is bedoeld om het tekort in de rsETH-dekking te herstellen. De actie fungeert als een soort noodfonds voor DeFi, zonder tussenkomst van een centrale bank, toezichthouder of formeel mandaat.

Uit een governancevoorstel van Aave blijkt dat het oorspronkelijke tekort in rsETH ongeveer 163.183 ETH bedroeg. Dankzij verschillende herstelacties en bevriezingen van fondsen is dit tekort teruggebracht naar ongeveer 75.081 ETH. Hierbij zijn onder meer:

• 43.168 ETH afkomstig van KelpDAO zelf;
• 30.766 ETH bevroren door de Arbitrum Security Council;
• Tot 12.323 WETH uit liquidaties via Aave;
• 1.845 WETH uit liquidaties via Compound.

De DeFi United-actie dekt momenteel ongeveer 92,5% van het resterende tekort, wat neerkomt op nog 5.632 ETH. Wanneer de bevroren fondsen van Arbitrum worden meegerekend, komt het totale bedrag op 100.200 ETH tegenover een doel van 116.500 ETH, wat neerkomt op een dekking van 86%.

Er zijn echter belangrijke kanttekeningen: veel bijdragen zijn nog afhankelijk van governancebesluiten en sommige bedragen zijn niet openbaar gemaakt.

Hoe ontstond het tekort van 163.183 ETH?

Het probleem begon bij de rsETH-bridge van KelpDAO, die gebruikmaakte van een 1-op-1-configuratie met LayerZero Labs als enige verificatiepartij. Onderzoek van Galaxy Research toont aan dat een aanvaller deze opzet misbruikte om 116.500 rsETH vrij te maken uit de Ethereum-mainnet escrow. Deze gestolen tokens werden vervolgens gebruikt als onderpand op platforms als Aave, Compound en Euler, waarvoor naar schatting $236 miljoen in WETH en wstETH werd geleend.

Binnen 48 uur daalde de totale waarde in DeFi met ruim $13 miljard. Alleen Aave verloor ongeveer $8,45 miljard aan totale waarde. De WETH-utilisatie bereikte 100%, terwijl gebruikers massaal hun posities sloten. Dit leidde tot een volledige benutting van de USDT- en USDC-pools.

LayerZero Labs gaf in een verklaring aan dat de aanval bestond uit RPC-vergiftiging gericht op de infrastructuur van hun gedecentraliseerde validator netwerk (DVN). Zij ontkenden echter dat er een fout in het LayerZero-protocol zelf zat. Toch bleef de bridge volledig afhankelijk van LayerZero Labs als enige verificatiepartij, wat een enkel punt van falen creëerde.

De rol van LayerZero in de redding

Omdat de hele aanval via de LayerZero-bridge verliep, is de bijdrage van LayerZero Labs aan de reddingsactie een van de meest cruciale, maar nog steeds onbekende factoren. Op de lijst van DeFi United staat LayerZero vermeld als “Bevestigd, nog te bepalen”.

Belangrijkste bijdragers aan de reddingsactie

Hieronder een overzicht van de belangrijkste bijdragen en hun status:

• Mantle – In afwachting van stemming: 30.000 ETH (grootste openbare bijdrage, cruciaal voor het dichten van het gat);
• Aave DAO – In afwachting van stemming: 25.000 ETH (kernreserve en test voor de bereidheid van de DAO om verliezen te absorberen);
• Stani Kulechov – Toegezegd: 5.000 ETH (persoonlijke inzet van de oprichter, versterkt de geloofwaardigheid);
• EtherFi – In afwachting van stemming: 5.000 ETH (belangrijke bijdrage).

De les: vertrouwen in gedecentraliseerde systemen

Deze gebeurtenis benadrukt de kwetsbaarheden van DeFi, met name de afhankelijkheid van enkele verificatiepartijen en de snelheid waarmee grote bedragen kunnen verdwijnen. Tegelijkertijd toont de reddingsactie de veerkracht van de gemeenschap, die snel reageert met noodfondsen en samenwerking tussen verschillende protocollen.

Experts wijzen erop dat de sector moet leren van deze gebeurtenis om toekomstige aanvallen te voorkomen. Transparantie, decentralisatie en robuuste beveiligingsmaatregelen blijven essentieel voor het vertrouwen in DeFi.