De THORChain-exploit van vrijdag begint vandaag pas echt vorm te krijgen op de Chain. Forensisch onderzoek toont dat de aanvaller niet random was. ZachXBT linkt de wallet-clusters aan dezelfde patronen als de Kelp DAO-hack van april. Noord-Koreaanse Lazarus Group-handtekeningen zijn voorlopig bevestigd. RUNE veert vandaag plus 0,69 procent terug naar 0,4553 dollar, maar het echte verhaal speelt onder de oppervlakte.
| Wat je moet weten |
|---|
| 1Forensisch onderzoek wijst zondag richting Lazarus Group als aanvaller op THORChain. Patronen matchen Kelp DAO-hack van april. |
| 2RUNE veert plus 0,69 procent terug naar 0,4553 dollar, maar liquidity-providers wachten op het post-mortem-statement. |
| 3De gestolen 36,85 BTC plus 3443 ETH zijn nog niet bewogen uit de aanvaller-wallets. Mixers worden verwacht maandag. |
| 4Nederlandse exchanges onder DNB-toezicht hebben geen directe exposure. Wel via cross-chain-bridges van derde-partij-protocollen. |
Lazarus-signatuur op de Chain
De wallet-clusters van de THORChain-exploit-aanvaller komen overeen met patronen die ZachXBT documenteerde in april bij de Kelp DAO-hack. Dezelfde batch-timing in transacties, dezelfde mixer-voorkeur, dezelfde nominale waarde voor de eerste laundering-stap. Voor wie de on-chain forensics serieus volgt, is dit geen toeval. Lazarus Group, de Noord-Koreaanse cybercrime-unit, opereerde namelijk al sinds 2022 met een vaste handtekening.
De 36,85 BTC en 3443 ETH staan nog in de aanvaller-wallets. Beweging wordt maandag verwacht via Tornado Cash-alternatieven of Sinbad-achtige mixers. Voor het protocol is dat ook een korte adempauze. THORChain kan in theorie samenwerken met exchanges om de walletadressen te flaggen voordat de fondsen worden gewassen.
Waarom het bredere DeFi-probleem hieraan vasthangt
De THORChain-exploit staat namelijk niet op zichzelf. CoinDesk-data bevestigt dat april 2026 al meer dan 600 miljoen dollar DeFi-exploit-verlies kende. Kelp DAO en Drift waren de grootste namen. Sinds 2021 verloren cross-chain-protocollen samen meer dan 2,8 miljard dollar door hacks. Het patroon is duidelijk: de zwakste schakel zit niet in de smart contracts, maar in de cross-chain-infrastructuurlaag.
Voor RUNE-houders blijft de positie kwetsbaar. Het protocol moet nu het herstelplan publiceren en laten zien hoe het de single-validator-verifier-set vervangt door een meer robuuste configuratie. Tot dan blijft elke prijsopleving fragiel.
Wat dit voor Nederlandse handelaren betekent
Geen Nederlandse exchange onder DNB-toezicht heeft directe THORChain-exposure. Onze coverage van zaterdag liet zien dat alle Asgard-vaults aan de protocol-laag hangen, niet aan custodial third-parties. Maar wie via cross-chain-bridges tokens roteert, moet de bridge-historie controleren. De Lombard-exodus van LayerZero naar Chainlink CCIP toont waar institutional traders kiezen voor veiligheid boven kostenvoordeel.
Maandag publiceert THORChain mogelijk het post-mortem-document. Dat bepaalt of LP’s vrijwillig terugkomen of dat de TVL structureel terugzakt. Voor wie RUNE bezit als langetermijnpositie, is de protocol-fundamentele-thesis intact gebleven. Maar de timing voor accumulatie blijft ook gevoelig. Buy the dip is hier niet automatisch verstandig. Eerst feiten verifiëren, daarna positioneren. Let op, dit is geen financieel advies. Crypto is volatiel en je kunt je gehele inleg kwijtraken.
