Moonwell Exploit Onderstreept Risico’s Van Ai In Gedecentraliseerde Financiën

Moonwell, een protocol voor gedecentraliseerde financiering (DeFi) dat is geïmplementeerd op Base en Optimism, heeft recentelijk een exploit meegemaakt waarbij ongeveer $1,78 miljoen werd verloren. Dit gebeurde nadat een prijsorakel voor de Coinbase Wrapped Staked ETH (cbETH) een waarde rapporteerde van ongeveer $1,12 in plaats van de juiste waarde van ongeveer $2.200. Deze verkeerde prijsstelling bood aanvallers een kans om hier misbruik van te maken voor hun eigen gewin.

Volgens een post-mortem van Moonwell was er een governancevoorstel, uitgevoerd op een zondag, dat het cbETH-orakel verkeerd configureerde door enkel de cbETH/ETH-uitwisseling te gebruiken. Dit leidde tot de onjuiste rapportage van cbETH tegen ongeveer $1,12. Liquidatie-bots en opportunistische leners maakten gretig gebruik van deze prijsfout, wat resulteerde in een slechte schuld van ongeveer $1,78 miljoen.

De betrokken contracten vertonen meerdere aanpassingen die mede zijn opgesteld door de Claude Opus 4.6 van Anthropic. Dit heeft geleid tot bezorgdheid van de beveiligingsauditor Pashov, die het incident publiekelijk aanhaalde als een voorbeeld van hoe kunstmatige intelligentie-gegenereerde of AI-ondersteunde Solidity-code kan falen.

Ondanks deze waarschuwing van Pashov is het cruciaal om deze fout niet uitsluitend als een AI-gedreven probleem te beschouwen. Hij beklemtoonde dat dit soort fouten ook door een ervaren Solidity-ontwikkelaar gemaakt had kunnen worden. Het kernprobleem bleek te liggen in een gebrek aan voldoende rigoureuze controles en end-to-end validatie.

Hoewel het dollarbedrag van de exploit relatief klein is in vergelijking met andere grote incidenten binnen DeFi, zoals de Ronin-brug exploit in maart 2022, waar meer dan $600 miljoen werd gestolen, is de combinatie van AI-co-auteurschap en een eenvoudige prijsconfiguratiefout bij een belangrijk activum wat Moonwell opmerkelijk maakt. Dit roept dringende vragen op over het governance- en controlesysteem binnen dergelijke protocollen.

Pashov meldde dat zijn eigen bedrijf zijn processen niet fundamenteel zou veranderen, maar dat ze opmerkzaam zouden zijn op code die “vibe coded” lijkt. Dit houdt in dat ze extra voorzichtig zouden zijn bij het herkennen van potentiële fouten, al gaf hij toe dat deze specifieke orakelbug niet eenvoudig te detecteren was.

De scheiding tussen onbeholpen gebruik van AI en het professionele gebruik ervan is cruciaal. Aan de ene kant zijn er niet-technische oprichters die AI aansteken om code te genereren die ze zelf niet kunnen controleren; aan de andere kant beschikken ervaren ontwikkelaars over het vermogen om AI te gebruiken voor het versnellen van herstructureringen, patroonverkenning en testen binnen een volwassen engineeringproces.

AI-ondersteunde ontwikkeling kan waardevol zijn, vooral in de fase van het minimale levensvatbare product (MVP), maar mag beslist niet worden beschouwd als een shortcut naar productieklare infrastructuur — vooral niet in kapitaalintensieve systemen zoals DeFi. Edwards benadrukte dat alle door AI gegenereerde smart contractcode als onbetrouwbare input moet worden behandeld. Dit vereist strikte versiecontrole, duidelijke code-eigendom, peer reviews door meerdere personen en uitgebreide testen, vooral in risicovolle gebieden zoals toegangscontroles, orakels, prijslogica en upgrademechanismen.

Uiteindelijk draait verantwoord gebruik van AI om governance en discipline, met duidelijke beoordelingspoorten, een scheiding tussen codegeneratie en validatie, en de aanname dat elk contract dat in een vijandige omgeving is gedeponeerd mogelijk latente risico’s bevat.

Vraag & Antwoord

Wat zijn de belangrijkste lessen vanuit de Moonwell-exploit?
De exploit illustreert dat de combinatie van AI-ondersteunde ontwikkeling en lage governance-standaarden gevaarlijk kan zijn. Het is cruciaal dat DeFi-projecten rigoureuze controles en kwaliteitsborging implementeren, vooral bij het omgaan met prijsorakels.

Hoe kan AI effectief worden geïntegreerd in DeFi-ontwikkeling?
AI kan een waardevol hulpmiddel zijn in het ontwikkelingsproces, maar moet worden ingezet binnen een gestructureerde en gecontroleerde omgeving. Dit houdt in dat alle AI-gegenereerde output moet worden behandeld als onbetrouwbaar, met gedegen testen en peer reviews.

Waarom is governance zo belangrijk in DeFi-projecten?
Governance speelt een cruciale rol in de responsiviteit en veiligheid van DeFi-protocollen. Een solide governance-structuur kan helpen om fouten te voorkomen en het vertrouwen van investeerders te waarborgen, vooral in een tijd waarin de markt snel kan veranderen.