DeFi-protocollen verliezen miljarden aan aanvallen buiten auditrapporten

Geverifieerde decentrale financieringsplatformen hebben in de eerste helft van 2026 ruim 885 miljoen dollar aan aanvallen verloren die volledig buiten het bereik van hun beveiligingsaudits vielen. Dit blijkt uit onderzoek van beveiligingsbedrijf ack3 en de Technische Universiteit Praag, die 135 beveiligingsincidenten analyseerden.

Het auditionderzoek

De onderzoekers vonden officiële beveiligingsaudits voor 68 van de 135 gerapporteerde incidenten. Daarvan bleek in 46 gevallen de aanvalsmethode buiten elke bekende auditräport te vallen. Deze buitenaudits vertegenwoordigen 94,4 procent van de totale verliezen in deze groep.

Na uitsluiting van twee grote incidenten—292 miljoen dollar bij Kelp DAO en 285 miljoen bij Drift Protocol—blijft 72,1 procent van de verliezen buiten het audirbereik.

Wat het betekent voor gebruikers

De bevinding onderstreept een fundamenteel probleem: een project kan correct beweren geverifieerd te zijn, terwijl gebruikers niet kunnen bepalen of het live systeem, de code waarin hun middelen verblijven, en de controles eromheen daadwerkelijk zijn beoordeeld.

Twee illustratieve incidenten

ICON Network ondervond op 27 augustus een replay-exploit waarbij twee controlemechanismen in een opname-procedure dezelfde bericht verschillend interpreteerden. Dit gebeurde precies op de grens tussen twee geverifieerde onderdelen. De aanvaller kon 1.490 eerder geautoriseerde transacties opnieuw indienen.

aelf meldde in augustus een runtime-compromis, maar beschikbare documentatie toont niet aan dat het beveiligde code of operaties betrof. Dit onderstreept dat geverifieerde code kan afwijken van het huidige systeem.

Grotere transparantie nodig

Effectieve zekerheid vereist gedetailleerde informatie: welke code-versie werd beoordeeld, welke onderdelen waren uitgesloten, en welke wijzigingen sinds de audit zijn doorgevoerd. Dit helpt gebruikers beter te begrijpen wat een auditstempel werkelijk betekent.