Aave bridge-exploit dwingt 230 miljoen risicocheck af

De Aave bridge-exploit van april dwingt een grote herziening af. Een gekaapte LayerZero-brug zette 230 miljoen dollar aan ongedekte rsETH op de markt. Aave bracht deze week een postmortem uit. Daarin herschrijft het protocol hoe het risico voortaan meet.

Waarom de Aave-bridge-exploit niet in de code zat

De grootste DeFi-aanval van 2026 begon niet bij Aave, zo meldde CoinDesk. Hij begon bij de rsETH-brug van KelpDAO. rsETH staat voor restaking, het hergebruik van gestakete ether als onderpand. KelpDAO verplaatst die token tussen blockchains via de brug van LayerZero.

Een brug leunt op verifiers die elk bericht controleren. In april tekende slechts één verifier een vervalst bericht. Daardoor verscheen 116.500 rsETH op Ethereum zonder dekking. Dat nep-onderpand belandde vervolgens in Aave.

De code van Aave deed precies wat hij moest doen. Het onderpand zelf was vals. Daar zit het ongemak. Leners haalden er kapitaal uit dat het protocol niet meer kon terughalen.

Een review die enkel naar volatiliteit, liquiditeit en audits kijkt, mist het risico van bruggen en infrastructuur buiten de code.

Aave, postmortem op X (1 juni 2026)

Aave herschrijft de regels voor nieuwe assets

Aave legt de lat hoger voor elke asset die genoteerd wil worden, blijkt uit het risicokader van Aave. Voortaan wegen bruggen, oracle-afhankelijkheden, custodians en operationele beveiliging mee. Tot nu toe keek het protocol vooral naar volatiliteit, liquiditeit en smart-contract audits.

Er komt ook een automatische noodrem. Bij vooraf bepaalde risicodrempels zakt de loan-to-value van een asset direct naar nul. Het onderpand verliest dan zijn leenkracht. Zo blijft schade beperkt voordat ze zich verspreidt.

LayerZero erkende eerder deze maand dat het bedrijf, in eigen woorden, “made a mistake”. De brug beveiligde dure assets met één verifier, een zogeheten 1-of-1-opzet. Dat ene zwakke punt was genoeg. Aave trekt er een bredere les uit voor de sector.

295 wijzigingen en wat er nu al verandert

Sinds de exploit voerden de risicobeheerders van Aave al zo’n 295 parameterwijzigingen door op V3-markten. Het ging om 168 verlagingen van supply caps en 66 van borrow caps. Een supply cap begrenst hoeveel van een asset de markt accepteert.

De boodschap is helder. Aave wil minder blootstelling aan losse assets. Eerder schrokken markten al van de DxSale-hack en van de TrapDoor-malware. Het patroon herhaalt zich, alleen groter.

Waarom dit Nederlandse beleggers raakt

Veel Nederlandse gebruikers stallen stablecoins of ether in DeFi voor rendement. Dit incident toont dat het risico vaak buiten het contract zit. Een brug of oracle kan de zwakke schakel zijn.

De timing is scherp. De MiCA-overgangsperiode loopt op 1 juli 2026 af, aldus toezichthouder ESMA. Toezichthouders zoals de AFM kijken steeds harder naar operationele risico’s. Wie in DeFi zit, voelt die druk straks ook in Europa.

De bredere markt is nerveus. Bitcoin zakte naar circa 72.900 dollar, ruim 1 procent lager. Volgens cijfers van CoinGecko noteert AAVE 81,26 dollar. Angst voor risico drukt op de hele sector.

Veelgestelde vragen

Wat ging er mis bij de Aave bridge-exploit?

Eén verifier van de LayerZero-brug tekende een vals bericht. Daardoor ontstond 116.500 ongedekte rsETH. Dat nep-onderpand belandde in Aave.

Lag de fout bij de code van Aave?

Nee. De smart contracts van Aave werkten zoals bedoeld. Het probleem zat in de brug die het onderpand leverde.

Wat verandert er nu voor DeFi-gebruikers?

Aave keurt assets strenger op bruggen en oracles. Ook komt er een noodrem die de leenkracht direct op nul zet.

De vraag is niet langer of een contract veilig is. De vraag is of alles eromheen dat ook is. Aave verlegt de aandacht naar bruggen, oracles en de mensen die ze beheren. De rest van DeFi kijkt mee.

Dit is geen beleggingsadvies. Doe eigen onderzoek voordat je kapitaal in DeFi zet.