Een prijs op een scherm lijkt iets vanzelfsprekends. Je kijkt naar de koers, je klikt, en de handel gaat door. Maar wie levert die prijs eigenlijk aan? In de wereld van DeFi is dat vaak een stukje software dat je nooit ziet, en juist daar ging het deze keer mis. Het platform Ostium, een handelsplek op Arbitrum, raakte ongeveer 18 miljoen dollar kwijt nadat hackers precies dat prijsmechanisme wisten te manipuleren.
Wat is Ostium eigenlijk?
Ostium is een zogeheten perp-DEX. Dat klinkt technisch, maar het idee is simpel. Het is een decentrale beurs waar je kunt handelen in perpetuals: contracten waarmee je speculeert op de prijs van iets, zonder dat je het onderliggende bezit hoeft te kopen. Denk aan wedden op de richting van een koers, met hefboom, en zonder einddatum.
Het platform draait op Arbitrum, een netwerk dat bovenop Ethereum is gebouwd om transacties sneller en goedkoper te maken. Zo’n opzet is populair omdat je de veiligheid van Ethereum meeneemt, maar minder betaalt per handeling. Handig, tot het ergens anders misgaat.
Wat is een oracle en waarom is die zo belangrijk?
Een blockchain weet uit zichzelf niet wat de prijs van bijvoorbeeld goud of een aandeel is. Die informatie staat buiten de keten. Om die kloof te overbruggen gebruiken platforms een oracle: een soort koerier die prijzen van buiten naar binnen brengt, zodat de slimme contracten weten waarmee ze rekenen.
Je kunt een oracle zien als de thermometer van het systeem. Klopt de meting, dan werkt alles zoals bedoeld. Maar wie de thermometer stiekem verwarmt, laat het hele systeem verkeerde beslissingen nemen. En dat is precies wat hier gebeurde.
Hoe de aanval verliep
Volgens de berichtgeving van Decrypt wisten de aanvallers de sleutel van een oracle-ondertekenaar in handen te krijgen. Die sleutel is nodig om prijzen te bevestigen die het platform binnenkomen. Met die toegang konden ze de prijsvoeding vervalsen.
Zodra je de prijs kunt bepalen die het systeem gebruikt, kun je jezelf schijnbaar rijk rekenen. Posities die eigenlijk niets waard zijn, lijken opeens winstgevend. Op die manier haalden de aanvallers ongeveer 18 miljoen dollar uit het platform. Niet door een fout in de wiskunde, maar door de bron van de informatie te vergiftigen.
Waarom dit soort hacks blijft terugkomen
Het vervelende is dat dit geen op zichzelf staand geval is. Oracle-aanvallen horen tot de meest voorkomende manieren om DeFi-platforms leeg te trekken. Het slimme contract zelf kan perfect zijn geschreven, maar als de gegevens die erin gaan niet kloppen, valt de hele constructie alsnog om.
Vaak zit de zwakke plek niet in de code, maar in het beheer van sleutels. Eén gecompromitteerde sleutel kan genoeg zijn. Het is een beetje als een goed beveiligd gebouw waar iemand de reservesleutel onder de deurmat heeft gelegd. De muren zijn dik, maar de ingang staat open.
Wat je hieruit kunt meenemen
Voor de Nederlandse lezer die met DeFi bezig is, is dit een nuttige herinnering. Decentraal betekent niet automatisch veilig. Het betekent dat de verantwoordelijkheid verschuift, ook naar de teams die deze systemen bouwen en beheren.
Het loont om te weten hoe een platform aan zijn prijzen komt en wie die informatie controleert. Gebruikt een project meerdere onafhankelijke bronnen, of hangt alles aan één sleutel? Dat soort vragen zeggen soms meer over het risico dan het rendement dat wordt beloofd. Nieuwsgierig blijven naar hoe iets onder de motorkap werkt, is in deze wereld geen luxe maar bescherming.
