Het totale bedrag aan geblokkeerd kapitaal binnen het gedecentraliseerde leningsprotocol Aave daalde afgelopen weekend met bijna $8 miljard. Dit gebeurde nadat de hackers achter de Kelp DAO-exploit, waarbij $293 miljoen werd gestolen, gebruik maakten van de Aave-faciliteiten om geld te lenen. Dit resulteerde in ongeveer $195 miljoen aan ‘slechte schulden’ binnen het protocol, wat gebruikers aanzette tot massale opnames.
De gegevens van DeFiLlama illustreren een scherpe daling in de Total Value Locked (TVL) van Aave, dat op zondag van ongeveer $26,4 miljard naar $18,6 miljard zakte. Hierdoor verliest Aave zijn positie als grootste DeFi-protocol, een indicator van de snelle impact die een enkel beveiligingsincident kan hebben in de onderling verbonden wereld van DeFi-leningen.
Opmerkelijk genoeg zijn de leningspoelen van Aave v3 voor USDt (USDT) en USDC nu tegen 100% geoptimaliseerd. Dit betekent dat er momenteel meer dan $5,1 miljard aan stablecoins vastzit en niet kan worden opgenomen totdat er nieuwe liquiditeit binnenkomt of bestaande leningen terugbetaald worden. Deze situatie creëert een fundamentele bezorgdheid over de liquiditeit, wat cruciaal is voor investeerders die betrokken zijn bij DeFi-ecosystemen.
De hack begon zaterdag, waarbij hackers 116.500 Kelp DAO Restaked ETH (rsETH) token ter waarde van ongeveer $293 miljoen hebben gestolen van de LayerZero-powered brug van Kelp DAO. Dit gestolen kapitaal werd als onderpand gebruikt om wrapped Ether (wETH) te lenen op Aave v3. Crypto-analyseplatform Lookonchain meldde dat deze actie resulteerde in ongeveer $195 miljoen aan ‘slechte schulden’ op Aave, wat leidde tot een scherpe daling van de Aave-token (AAVE), die bijna 20% verloor – van $112 naar $89,50 in minder dan 25 uur.
Na de exploit trok een aantal grote crypto-investeerders, waaronder de MEXC crypto-exchange en Abraxas Capital, samen respectievelijk $431 miljoen en $392 miljoen uit Aave. Diverse crypto-netwerken en protocollen die samenhangen met rsETH of de LayerZero-brug hebben het gebruik van deze brug gepauzeerd, waaronder de DeFi-platforms Curve Finance, stablecoin-uitgever Ethena en BitGo’s Wrapped Bitcoin (WBTC).
Vervolgens besloot Aave om de rsETH-markten op zowel Aave v3 als v4 te bevriezen om verdacht lenen te voorkomen. Men gaf aan dat rsETH op de Ethereum-mainnet volledig gedekt blijft door onderliggende activa. Ook de reserves van WETH blijven bevroren op Ethereum, Arbitrum, Base, Mantle en Linea.
Dit incident vertegenwoordigt een eerste belangrijke stresstest van Aave’s ‘Umbrella’-beveiligingsmodel, geïntroduceerd in juni 2025, dat is ontworpen om automatisch bescherming te bieden tegen slechte schulden terwijl gebruikers tegelijkertijd beloningen kunnen verdienen. Onderzoek van de Bank of Canada toont aan dat Aave in zijn v3-markt slechte schulden heeft weten te vermijden door overcollateralization (het verstrekken van meer onderpand dan nodig is), automatische liquidaties en risicoshifting naar de leners. Dit komt voorbij aan het feit dat Aave recent afscheid nam van zijn langstlopende DeFi-risicoserviceprovider, Chaos Labs, na meningsverschillen over de richting van Aave v4 en budgettaire beperkingen.
Wat is de impact van de daling van de TVL op Aave?
De daling van de TVL heeft serieuze implicaties voor investeerders en het bredere DeFi-ecosysteem. Het kan leiden tot een gebrek aan vertrouwen, waardoor liquiditeit verder onder druk komt te staan en gebruikers ontmoedigd worden om hun fondsen in dergelijke protocollen te beleggen.
Hoe kan Aave zijn gebruikers beschermen tegen toekomstige hacks?
Aave heeft al stappen ondernomen door markten te bevriezen en de veiligheid van hun systemen om te zetten in prioriteit. Het toekomstige gebruik van robuuste aanpassingen in hun beveiligingsmodel zal cruciaal zijn voor het behouden van vertrouwen onder gebruikers.
Wat zijn de lessen die we kunnen leren van dit incident?
De incidenten benadrukken de kwetsbaarheid van de DeFi-markten en de noodzaak voor verbeterde beveiligingsmaatregelen en transparantie. Investeerders moeten zich bewust zijn van de risico’s en de afhankelijkheid van onderlinge protocollen in het DeFi-ecosysteem.
