Stel je voort: een lek dat je een jaar geleden al kende, maar dat toch weer water doorlaat. Dat is precies wat er op 31 augustus gebeurde bij Balancer, een bekend DeFi-protocol waar je tokens kunt inleggen om handel mogelijk te maken. Een oudere liquiditeitspool raakte ongeveer 234.000 dollar kwijt aan een aanvaller. Klein bedrag in cryptotermen, maar de manier waarop het gebeurde maakt het interessant.
Wat is hier precies misgegaan?
Beveiligingsbedrijf Slowmist wees op de aanval. Het gaat om een zogenoemde afrondingsfout. Klinkt onschuldig, maar in code kan een piepklein verschil grote gevolgen hebben. Een blockchain rekent met enorme precisie, en soms wordt een getal net verkeerd afgekapt of naar boven afgerond. Een aanvaller die dat foutje kent, kan het keer op keer uitbuiten en zo geld uit de pool trekken.
Denk aan een kassa die bij elke transactie een fractie van een cent verkeerd teruggeeft. Eén keer merk je dat niet. Maar herhaal dat duizenden keren razendsnel, en het loopt op tot een fors bedrag. Zo werkt zo’n exploit ook.
Waarom voelt dit zo bekend?
Omdat het dat ook is. Vorig jaar november verloor Balancer via zijn V2-pools maar liefst 116 miljoen dollar aan dezelfde categorie bug. Het gaat nu om de oudere V1-versie van het protocol, maar de vingerafdruk van de aanval lijkt op die eerdere klap. De geschiedenis herhaalt zich, alleen dan op veel kleinere schaal.
Dat roept een ongemakkelijke vraag op. Als een lek al eens tot een miljoenenstrop heeft geleid, waarom bestaat een verwante zwakte dan nog steeds? Het antwoord zit vaak in oude, nog draaiende contracten. Code op een blockchain kun je niet zomaar terugroepen. Een pool die jaren geleden is opgezet, draait door zolang er nog geld in zit, met kwetsbaarheden en al.
Wat kun je hier als gebruiker uit meenemen?
Het is goed om te weten dat oudere versies van een protocol niet automatisch even veilig zijn als de nieuwste. Ontwikkelaars verbeteren hun code, maar het verleden blijft on-chain gewoon bestaan. Zet je tokens in een pool, dan is het slim om te checken of je met een actief onderhouden versie werkt en niet met een verouderde variant die niemand meer in de gaten houdt.
Tegelijk hoef je van dit specifieke incident niet wakker te liggen. Het verlies is relatief bescheiden en raakt vooral wie nog in deze oude V1-pool zat. Het grotere signaal telt: DeFi is transparant, wat betekent dat aanvallers de code net zo goed kunnen bestuderen als iedereen. Een klein foutje dat blijft staan, wordt vroeg of laat gevonden.
Dat is meteen de les die dit soort hacks steeds opnieuw onderstreept. Niet paniek, maar oplettendheid. Weten waar je geld staat, in welke versie, en wie er nog naar kijkt, maakt in DeFi echt verschil.
