Grootste DeFi-hack van 2026: $292 miljoen gestolen via KelpDAO, markt vlucht met $10 miljard

Een van de grootste DeFi-hacks ooit

Een ernstige beveiligingsfout bij KelpDAO heeft dit weekend een golf van paniek veroorzaakt in de wereld van gedecentraliseerde financiën (DeFi). Een hacker wist $292 miljoen aan rsETH te stelen, wat leidde tot een massale uitstroom van ongeveer $10 miljard uit de sector. Verschillende protocollen moesten markten bevriezen die verbonden waren aan rsETH, een token dat Ethereum (ETH) vertegenwoordigt in het liquiditeitsherstaksysteem van KelpDAO.

Hoe de hack plaatsvond

De aanval begon zaterdagavond laat, toen een hacker ongeveer 116.500 rsETH wist te stelen via de cross-chain bridge van KelpDAO. Deze gestolen tokens hadden op dat moment een waarde van $292 miljoen. KelpDAO geeft rsETH uit aan gebruikers die ETH deponeren in hun systeem voor liquiditeitsherstaking. Vervolgens zet het platform deze ETH in via EigenLayer om extra rendement te genereren bovenop de standaard staking-inkomsten.

Volgens CryptoSlate is dit de grootste DeFi-hack van 2026 tot nu toe, en overtreft daarmee eerdere aanvallen dit jaar.

De zwakke schakel: LayerZero en een frauduleuze transactie

De gestolen rsETH circuleerde via LayerZero, een cross-chain berichtenprotocol dat activa en instructies tussen blockchains verplaatst. Jaarlijkse ontwikkelaar Banteg legde uit dat de hack de verbinding tussen Unichain en de Ethereum-mainnet raakte. De hacker stuurde een frauduleus bericht dat het systeem als geldig accepteerde, waardoor de Ethereum-zijde van de adapter voorgefundeerde rsETH-reserves vrijgaf.

Deze route was ingesteld als een one-of-one verifier-netwerkpad zonder secundaire verificateurs die de transactie hadden kunnen tegenhouden. De kwaadaardige transactie, geïdentificeerd als nonce 308, werd om 17:35 UTC geverifieerd en uitgevoerd.

Snelle reactie en verdere schade beperkt

Na de aanval bevroor KelpDAO’s noodmultisignatuurportemonnee de kerncontracten van het protocol. Dit blokkeerde twee verdere pogingen die samen nog eens ongeveer $100 miljoen aan rsETH hadden kunnen verwijderen. De initiële gestolen fondsen werden verplaatst via Tornado Cash, waardoor de sporen werden verdoezeld voordat het protocol kon reageren.

De gedraineerde, reservegedekte rsETH verspreidde zich vervolgens over secundaire netwerken, waaronder Base, Arbitrum, Linea, Blast, Mantle en Scroll. Toen deze reserves opraakten, ontstond er onzekerheid bij gebruikers die rsETH buiten Ethereum hielden over de inwisselbaarheid en dekking.

De impact op Aave: een potentiële $236 miljoen aan slechte schulden

De grootste naschok trof Aave, het grootste crypto-lenplatform, waar de hacker de gestolen rsETH als onderpand zou hebben gedeponeerd. Tijdens het aanvalsvenster bleven Aave’s prijsorakels rsETH waarderen op zijn normale peg, waardoor het protocol 106.467 ETH kon uitgeven tegen het aangetaste onderpand. Dit liet het platform achter met een potentiële slechte-schuld-expositie van $236 miljoen en leidde tot een massale uitstroom van gebruikers.

Volgens DeFiLlama daalde Aave’s Total Value Locked (TVL) van meer dan $26 miljard naar ongeveer $20 miljard toen gebruikers hun fondsen terugtrokken. Dit was een van de scherpste dalingen in de recente geschiedenis van het platform en veranderde een brug-exploit in een liquiditeitsevenement voor de grootste lenfaciliteit in DeFi.

On-chain analisten meldden dat grote ETH-houders op het platform de uitstroom versnelden. Ter vergelijking: de oprichter van TRON was een van de grootste afnemers.

Wat betekent dit voor de toekomst van DeFi?

De hack bij KelpDAO onderstreept opnieuw de kwetsbaarheden in cross-chain protocollen en de risico’s van geautomatiseerde systemen zonder voldoende verificatiemechanismen. Experts waarschuwen dat dergelijke aanvallen de vertrouwen in DeFi kunnen ondermijnen en de noodzaak benadrukken van betere beveiligingsmaatregelen en noodprotocollen.

Voor gebruikers betekent dit een hernieuwde focus op risicobeheer en het belang van het monitoren van protocollen waaraan ze hun activa toevertrouwen. De komende weken zullen moeten uitwijzen of Aave en andere getroffen protocollen hun liquiditeit kunnen herstellen en het vertrouwen kunnen herwinnen.