Crypto-protocollen verloren 606 miljoen dollar in de eerste 18 dagen van april. Dat is meer dan het hele eerste kwartaal van 2026 samen. DefiLlama registreerde 12 incidenten in die periode. Twee inbraken leverden 95 procent van het totaal. KelpDAO werd op 18 april geleegd voor 292 miljoen. Drift op 1 april voor 285 miljoen. Beide attributies wijzen naar de Lazarus Group van Noord-Korea, dezelfde groep die in februari 2025 de Bybit-kraak van 1,5 miljard pleegde. April 2026 is daarmee de zwaarste hackmaand sinds die inbraak. Met nog vijf werkdagen te gaan, ligt het pad open naar 700 miljoen totaal.
De cijfers zijn schokkend genoeg, maar het patroon erachter is de echte zorg. Hackers stappen weg van smart contract-bugs en gaan op de privésleutels af. Ze gebruiken AI-tools tegen wallets zoals Zerion. Ze infiltreren teams via valse IT-huurlingen, een methode die de MIVD vorige week benoemde. Het aanvalsoppervlak groeit terwijl DeFi-platforms dieper verweven raken.
Hoe Lazarus 285 miljoen wegsleepte uit Drift Protocol
Op 1 april werd Drift op de Solana-blockchain getroffen door een inbraak op zijn liquiditeitspools. De daders gebruikten geen flash-loan-exploit of contractbug. Ze kregen toegang tot een privésleutel behorend bij een upgrade-account. Eenmaal binnen werd het pool-saldo binnen minuten geleegd. Crypto.news meldde later dat Chainalysis de gestolen tokens traceerde. Wallet-clusters in het patroon waren eerder geassocieerd met de Noord-Koreaanse hackers. Het verlies dwong Drift om alle handel tijdelijk stop te zetten. Crediteuren kregen een terugbetalingsplan dat 65 procent dekte. De resterende 35 procent moeten gebruikers afschrijven.
De inbraak van 18 april was technisch een aanval op de prijs-orakels van Kelp’s restaking-protocol. Aanvallers manipuleerden de orakel-feeds en gebruikten gestolen rsETH-tokens als onderpand. Dat leek geen probleem voor Aave, totdat een verbinding zichtbaar werd. Aave hield rsETH als onderpand voor leningen. Toen die tokens onbetrouwbaar werden, gingen leningen onder water. Liquidatie-cascades volgden. TheStreet documenteerde 10 miljard dollar uitstroom uit Aave binnen 48 uur. De TVL daalde van 26,4 naar 17,9 miljard. Twintig andere platforms meldden eveneens secundaire impact.
Wat de noodingreep van Arbitrum ons leert over Layer-2
Drie dagen na de Kelp-inbraak stond Arbitrum voor een keuze. Daders verplaatsten 30.000 ETH ter waarde van 71 miljoen dollar over de Arbitrum-bridge richting laundering-mixers. De Arbitrum Security Council bevroor de fondsen. Gizmodo beschreef hoe twaalf raadsleden hun noodbevoegdheden uitoefenden binnen uren na de aanval. Resultaat. Het geld bleef bewaard, maar het decentralisatieverhaal van Arbitrum ouderde slecht. Niet alleen Tether bleek freeze-functies te hebben, ook Layer-2-blockchains. Voor wie crypto bezit voor censorship-resistance, is dat een fundamenteel ander aanbod dan Bitcoin op de basislaag.
De Noord-Koreaanse staatshackergroep verzamelde in 2025 een totaal van 2,02 miljard dollar aan crypto-buit. Dat was 59 procent van alle gestolen waarde wereldwijd dat jaar volgens Chainalysis. In 2026 lopen ze op een hoger tempo. KelpDAO en Drift samen vertegenwoordigen 75 procent van alle crypto-diefstal in 2026 tot dusver. De methodologie evolueert. Eerst waren het phishing-pogingen op individuele wallets. Daarna kwamen smart contract-exploits. Nu zijn het infiltraties van teams via gefabriceerde IT-huurlingen die toegang krijgen tot signing-infrastructuur. Volgens Help Net Security waren er 74 procent minder pogingen nodig dan een paar jaar geleden. Elke aanval werkt simpelweg harder.
Het tempo baart veiligheidsonderzoekers het meest. Volgens DefiLlama noteerde DeFi 47 incidenten in de eerste 4,5 maanden van 2026. In dezelfde periode van 2025 waren dat er 28. Dat is dus een stijging van 68 procent. Per gemiddeld 2,9 dagen vindt nu een nieuwe inbraak plaats. De totale waarde in DeFi staat op 120 miljard dollar en blijft groeien. Door cross-chain bridges, restaking-protocollen en orakel-feeds ontstaan steeds meer afhankelijkheden tussen platforms. Een inbraak op één plek kan via die verbindingen domino-effecten triggeren bij vier of vijf anderen. Deze maand was Kelp het schoolvoorbeeld. Maar audits en code-reviews dekken die domino-risico’s niet af. DefiLlama-onderzoekers noemen het een fundamenteel risico-prijsprobleem dat de hele sector raakt.
Waarom Jefferies waarschuwt voor Wall Street-impact
De timing zit Wall Street niet mee. Diverse banken werkten aan tokenisatie-projecten voor traditionele activa. Jefferies-analisten waarschuwden gisteren dat de stroom van inbraken institutionele appetit voor DeFi-tokenisatie tijdelijk kan koelen. Mijn collega Sophia schreef vanochtend over de Tether-freeze van Iran, een ander signaal dat institutionele crypto-infrastructuur centraal-controle herintroduceert. Door de combinatie van veiligheidsrisico en compliance-druk wordt DeFi minder aantrekkelijk voor banken die net begonnen waren aan crypto-integratie. Tot nu hebben BlackRock en Morgan Stanley geen publieke positie ingenomen. Maar interne risicocommissies hebben de exploits actief op de agenda staan.
Wat Nederlandse beleggers met DeFi-positie nu moeten doen
Voor wie ETH of stables op Aave of een vergelijkbaar platform heeft staan, geldt eerst eenvoudige discipline. Diversifieer over platforms. Houd niet meer dan 20 procent van je portefeuille op één lendingplatform. Trek tokens terug naar self-custody als je ze niet actief productief inzet. Voor Bitcoin-aanschaf werkt onze redactie via OKX en Bybit, beide met MFSA-licentie. Gelicenseerde platforms zijn niet immuun voor hacks, zoals de Bybit-inbraak van februari 2025 bewees. Voor langetermijnposities blijft een hardwarewallet de enige echte verdediging. Handel altijd op basis van eigen onderzoek. De DeFi-sector groeit nog steeds. Maar de verzekeringspremie van die groei wordt elke maand zichtbaarder.
Een 700 miljoen dollar-maand zou onder andere omstandigheden een waarschuwingssignaal zijn. Maar dit is geen losstaand event. Het is paneel vier in een serie die begon met de Bybit-kraak van februari 2025. De serie loopt door tot de Treasury-sancties op Iraanse adressen van gisteravond. Staatshackers, private uitbuiters en overheidsblokkades vormen samen een nieuw operationeel landschap. Voor wie crypto bezit, is het tijd om de afhankelijkheidsketens van de eigen positie in kaart te brengen. Niet om uit te stappen. Maar om te zien wat er onder de oppervlakte gebeurt. Een protocol kan tien procent van zijn TVL verliezen in 48 uur.
