Zaterdagavond rond kwart voor acht trilde mijn telefoon. Niet van vrienden. Van nieuwsmeldingen. Een DeFi-protocol dat ik niet eens persoonlijk gebruik, Kelp DAO, was zojuist leeggetrokken. Binnen 48 uur groeide dat ene incident uit tot de grootste DeFi-crisis van 2026. En dinsdagochtend kwam de cruciale update. De hackers kwamen met aan zekerheid grenzende waarschijnlijkheid uit Pyongyang.
Drie meldingen in vijf minuten. Allemaal over Bitcoin? Nee, over een liquid restaking protocol waar de meeste Nederlanders nooit van hebben gehoord. De cijfers in de widget hierboven vertellen het wat. Wat onder de oppervlakte gebeurde, is leerzamer.
De aanval begon tien uur voordat iemand het doorhad
Tien uur vóór de drain zette de aanvaller zes wallets klaar via Tornado Cash. Daarna ging hij aan de slag met de infrastructuur. Hij kraakte twee RPC-nodes. Dat zijn de servers die LayerZero’s verifier gebruikt om transacties tussen blockchains te bevestigen. Op die nodes verving hij de echte software door een kwaadaardige versie. Die versie deed één ding. Tegen de verifier van LayerZero vertelde hij één verhaal. Tegen elke andere controleur die dezelfde node uitlas, vertelde hij iets heel anders.
Toen zette hij stap twee in. Een DDoS-aanval op de Amerikaanse westkust. Tussen 10:20 en 11:40 Pacific Time liep een stortvloed aan verkeer binnen op de gezonde nodes. Die vielen uit. Het systeem schakelde automatisch over naar back-upnodes. Dat waren precies de twee gecompromitteerde nodes. De verifier kreeg nu alleen nog de leugen te zien. Om 17:35 UTC liet de bridge 116.500 rsETH los naar een adres van de aanvaller. Daarna verwijderde de kwaadaardige software zichzelf en wist alle lokale logs. Spoor weg.
Kelp koos één verifier, waar er meerdere moesten zijn
LayerZero publiceerde maandag een uitgebreid post-mortem. De kern is pijnlijk. Kelp gebruikte een “1-of-1” verifier-configuratie. Dat betekent dat LayerZero Labs de enige partij was die berichten naar en van de rsETH-bridge controleerde. LayerZero had in de documentatie en in directe gesprekken met Kelp aangeraden om meerdere onafhankelijke verifiers te gebruiken. Met zo’n multi-verifier-opzet zou het kraken van één node nooit voldoende zijn geweest om een transactie te vervalsen.
Kelp volgde die aanbeveling niet. De aanval werkte alleen omdat de hele controleketen bij één partij lag. LayerZero kondigde dinsdag aan geen berichten meer te ondertekenen van applicaties die werken met een 1-of-1 configuratie. Voor Kelp is die reactie te laat.
De bridge was de reserve voor twintig andere blockchains
De rsETH in de gehackte bridge was niet zomaar een pot geld. Het was de voorraad die de rsETH op meer dan twintig andere blockchains dekte. Onder meer Base, Arbitrum, Linea, Blast, Mantle en Scroll. Gebruikers op die netwerken zaten plots met een token waar de onderliggende dekking grotendeels van verdwenen was.
Het probleem kaatst terug. Mensen op layer 2 willen hun rsETH inwisselen voor ETH op Ethereum. De voorraad is kleiner dan de vraag. Als iedereen tegelijk wil wegvluchten, moet Kelp zijn restaking-posities afbouwen om de uitbetalingen rond te krijgen. Dat voert de druk op. Of rsETH zijn peg vasthoudt, hangt af van hoeveel mensen op de layer 2s besluiten eruit te stappen.
Zo begon de bank run bij Aave
De aanvaller deed iets slims met de gestolen rsETH. Hij zette de tokens als onderpand op Aave V3 op Ethereum. Daartegen leende hij wrapped ETH. In gewone taal: hij ruilde gestolen papier in voor echte ETH die hij kon uitgeven. De rsETH die hij als onderpand achterliet, was sinds de hack weinig meer waard. Bij Aave bleef 196 miljoen dollar aan oninbare schuld achter in het rsETH-WETH-paar.
Aave-oprichter Stani Kulechov zei eerst dat het Umbrella-reservefonds de schade zou dekken. Een dag later verzachtte Aave die toezegging. Het protocol zou nu “paden verkennen om het tekort te compenseren”. Die koerswending deed zijn werk. Gebruikers trokken hun geld terug. Aave’s totale waarde in onderpand viel van 26,4 miljard op 18 april naar bijna 20 miljard op zondagmorgen.
Waarom North Korea wéér de hoofdverdachte is
In zijn post-mortem wijst LayerZero “met voorlopig vertrouwen” naar TraderTraitor. Dat is een subgroep binnen Lazarus, de hackers-eenheid van het Noord-Koreaanse regime. In achttien dagen wist dezelfde groep meer dan 575 miljoen dollar uit DeFi weg te sluizen. Bij Drift Protocol viel de aanvalslijn via social engineering van de governance. Bij Kelp via de infrastructuur zelf. Twee technisch verschillende routes. Eén dader.
De conclusie is ongemakkelijk. Sancties hebben Noord-Korea niet van crypto weggejaagd. Het regime haalt er harde valuta uit voor zijn wapenprogrammas.
Justin Sun smeekt de hacker om te praten
Tron-oprichter Justin Sun postte zondagavond op X een opvallend bericht. Hij vroeg de Kelp-hacker om “gewoon te komen praten”. Dat signaleert twee dingen. Sun heeft zich eerder als bemiddelaar opgeworpen bij grote hacks, vaak succesvol. En hij denkt blijkbaar dat terugonderhandelen met staatsgebonden actoren een reële optie is in 2026. Voor iedereen die DeFi als open en grenzeloos ziet, is die gedachte ongemakkelijk.
Het vervolgpad is bekend. Lazarus sluist gestolen fondsen door via Tornado Cash. Naar obscure exchanges. Uiteindelijk naar wallets in jurisdicties waar Amerikaanse autoriteiten niets te zeggen hebben. Of Sun iets kan terughalen, is onzeker.
De “DeFi is dood”-roep die vandaag weer opklinkt
In CoinDesk zei een ontwikkelaar het bot. “DeFi is dood.” Overdreven. Maar de zorg is niet verzonnen. De Kelp-hack komt bovenop Drift en een dozijn kleinere incidenten sinds begin april. De besmetting verspreidt zich via bridges. Via tokens die elkaars onderpand zijn. Via leningprotocollen die alles in één web knopen.
Voor wie crypto direct aanhoudt in een eigen wallet, verandert er vandaag weinig. Voor wie geld in DeFi heeft staan, ligt de vraag anders. Hoe verbonden is het protocol waar jouw geld in zit? Welke bridges gebruikt het? Welke verifiers staan erachter? Dat zijn geen vragen die in marketingmateriaal staan. Die vind je alleen door in technische documentatie te graven.
Waarom dit voor Nederlandse beleggers meer is dan een buitenlands verhaal
Nederlandse beleggers die via een gereguleerde exchange Bitcoin of Ethereum aanhouden, staan buiten deze storm. De Kelp-hack raakt wie direct via DeFi-protocollen handelt. Dat aantal is in Nederland kleiner dan in de VS of Azië, maar niet nul. Wie de voorbije weken experimenteerde met liquid restaking, controleert vandaag beter zijn posities.
De bredere les zit elders. Bitcoin staat vanochtend onder de 74.000 dollar, onder druk van de Iran-crisis. In die omgeving is een 292 miljoen-hack het extra gewicht dat sentiment onder de hele cryptosector drukt. ETF-instroom duwt de richting wel omhoog, met bijna een miljard aan netto-inflow voor Bitcoin-ETF’s gisteren. De race tussen institutionele adoptie en structurele zwaktes in DeFi is op dit moment precair.
Wie wil handelen in deze volatiele markt, doet dat via OKX of via Bybit. Beide platforms beschikken over een MFSA-licentie voor Europese gebruikers. Handel altijd op basis van eigen onderzoek.
Ik heb zelf geen rsETH in mijn wallet. Maar deze hack ga ik voor me zien liggen. De volgende keer dat iemand me vraagt of DeFi “gewoon werkt”. Het werkt. Tot het niet werkt. En tussen die twee momenten zit soms anderhalf uur en een DDoS-aanval op de Amerikaanse westkust.
