Stel je voor dat een dief niet inbreekt door een raam te forceren, maar door de klok in het gebouw stiekem vooruit te zetten en zo een deur te laten openspringen. Zoiets gebeurde deze week bij Ostium, een DeFi-protocol dat handelaren toegang geeft tot allerlei markten. Een aanvaller gebruikte de eigen prijsinfrastructuur van het platform tegen het platform zelf, en wist zo zo’n 18 miljoen dollar buit te maken. Geen gestolen wachtwoord, geen phishing. Puur misbruik van hoe het systeem prijzen binnenkrijgt.
Wat is een oracle eigenlijk?
Om te snappen wat er misging, is het handig om eerst een begrip uit te leggen: de oracle. Een blockchain is van zichzelf een gesloten systeem. Hij weet niets van de buitenwereld, dus ook niet wat de prijs van goud, olie of een aandeel op dat moment is. Een oracle is de brug die die informatie naar binnen brengt. Denk aan een koerier die telkens het laatste prijskaartje uit de echte wereld komt afleveren bij het slimme contract.
Zolang die koerier klopt, werkt alles soepel. Maar wat als iemand valse prijskaartjes weet af te leveren? Dan gaat het protocol beslissingen nemen op basis van gegevens die niet kloppen. En precies dat is bij Ostium gebeurd.
Hoe de aanval in zijn werk ging
Volgens de eerste analyses voerde de aanvaller vervalste prijsdata in, met een datum die in de toekomst lag. Door het systeem te laten geloven dat bepaalde koersen al waren bereikt, kon hij op papier winst laten ontstaan die er in werkelijkheid niet was. Het protocol keerde die nepwinst vervolgens netjes uit, tot een bedrag van ongeveer 18 miljoen dollar.
Het venijnige zit hem hierin: er werd geen zwakke plek in de programmeercode geforceerd op de manier die je vaak ziet bij hacks. De aanvaller gebruikte een functie die er gewoon hoort te zijn, namelijk het aanleveren van prijzen, en boog die om naar zijn eigen voordeel. Meer over de technische details lees je in het oorspronkelijke bericht van CoinDesk.
Waarom oracles steeds vaker het doelwit zijn
Deze aanval staat niet op zichzelf. De afgelopen periode zijn oracles uitgegroeid tot een geliefd doelwit binnen DeFi. Dat is logisch als je erover nadenkt. Waarom zou je moeite doen om een muur af te breken, als je gewoon de informatiestroom kunt manipuleren die alle beslissingen aanstuurt?
Voor veel protocollen is de prijsvoorziening namelijk het kloppende hart. Alles draait op die cijfers: wanneer een positie wordt geliquideerd, hoeveel winst iemand krijgt, wanneer een lening onder water staat. Klopt de invoer niet, dan klopt de uitkomst ook niet. Het is een beetje als een rekenmachine met een gemanipuleerd toetsenbord: het apparaat werkt perfect, maar het antwoord is toch fout.
Wat je hieruit kunt meenemen
Voor de Nederlandse gebruiker die weleens in DeFi rondkijkt, zit hier een nuchtere les in. De slimme contracten achter deze platforms zijn vaak grondig gecontroleerd, maar de brug naar de buitenwereld blijft een kwetsbaar punt. Een protocol kan technisch waterdicht zijn en toch onderuitgaan door de gegevens die het binnenkrijgt.
Dat betekent niet dat je DeFi meteen moet mijden. Wel is het goed om te beseffen dat rendement en risico hier hand in hand gaan. Kijk niet alleen naar de beloofde opbrengst, maar ook naar hoe een project zijn prijsdata regelt en of er meerdere bronnen worden gebruikt om fraude te voorkomen. Hoe verder je onder de motorkap durft te kijken, hoe beter je begrijpt waar het echte gevaar zit. En dat is bij dit soort aanvallen zelden de plek waar je het zou verwachten.
