Twee minuten verkeerde koersdata leidt tot $3 miljoen aan Vesu-liquidaties

Een fout in prijsdata van slechts twee minuten was voldoende om op het Starknet-leningprotocol Vesu ongeveer $3 miljoen aan abnormale liquidaties te veroorzaken. Op 4 september 2026 leverde een upstream-feed van Pragma tussen 04:08 en 04:10 UTC onjuiste prijzen aan. Daardoor leken 47 leenposities, verdeeld over meerdere Vesu-pools, ten onrechte liquideerbaar. 32

Het cruciale onderscheid: Vesu omschrijft dit als een fout in de oracle-input, niet als een kwetsbaarheid in zijn smart contracts. De liquidatiemachine volgde de ingestelde regels, maar de prijsinformatie waarop die regels zich baseerden, klopte niet. 32

Hoe twee minuten tot liquidaties konden leiden

In een DeFi-leningmarkt wordt voortdurend berekend hoeveel het onderpand van een lener waard is ten opzichte van diens schuld. Zakt een positie volgens die berekening onder de vereiste onderpandgrens, dan kunnen liquidatoren de gewone liquidatieprocedure uitvoeren.

Bij Vesu maakten de foutieve Pragma-prijzen 47 posities ogenschijnlijk ondergecollateraliseerd. Geautomatiseerde liquidateurs namen vervolgens volgens de normale protocolregels ongeveer $3 miljoen aan onderpand weg, voordat de feed zichzelf corrigeerde. 2032

Daarom betekent „de contracts werkten zoals ontworpen” niet automatisch dat de economische uitkomst juist was. Een smart contract kan de beschikbare data verifiëren en er deterministisch op handelen, maar kan niet zelfstandig vaststellen of een door een oracle gemelde prijs de werkelijke marktprijs weerspiegelt.

De keten van gebeurtenissen is in feite eenvoudig:

1. Een oracle publiceert een prijs die de leenmarkt gebruikt.
2. Het protocol berekent de gezondheid van posities opnieuw met die prijs.
3. Een positie lijkt onder de vereiste onderpandgrens te vallen.
4. Liquidateurs voeren de reguliere liquidatiefunctie uit.

Bij Vesu ging het mis bij de eerste stap: de prijsinput was fout. De liquidatiefunctie werd dus niet omzeild of misbruikt. Vesu stelt dat er aan protocolzijde geen contractwijziging nodig was. 32

Herstel, pauzes en instructies voor gebruikers

Vesu meldde dat Pragma samen met relevante partijen een oplossing voor de onderliggende oorzaak had uitgerold. De prijsfeed corrigeerde binnen het incidentvenster van twee minuten. Vesu verwachtte vervolgens dat de curatoren van de pools de getroffen pools weer zouden vrijgeven. 32

Daarnaast werkt Vesu naar eigen zeggen met Pragma, StarkWare, de Starknet Foundation en poolcuratoren aan herstel van gelden voor getroffen gebruikers. Dat is een hersteltraject, geen bevestiging dat iedere gedupeerde al is gecompenseerd. 2432

Vesu adviseerde getroffen gebruikers volgens de beschikbare berichtgeving om:

• hun Earn-posities open te houden, omdat opnemen gevolgen kan hebben voor eventuele aanspraak in een herstelproces; en
• via de Discord van Vesu een supportticket in te dienen als hun positie tijdens het incident is geliquideerd. 2734

De status van pools kan veranderen wanneer curatoren voorzorgsmaatregelen opheffen of handhaven. Gebruikers doen er daarom goed aan de actuele incident- en supportberichten van Vesu te volgen, in plaats van ervan uit te gaan dat elke markt is geraakt of iedere pool dezelfde status heeft.

Wat wel en niet bekend is over de oplossing

De openbare informatie bevestigt enkele hoofdzaken: de fout kwam uit een upstream-prijsfeed van Pragma, duurde ongeveer twee minuten, de feed herstelde zichzelf en er is samen met betrokken partijen een oplossing voor de onderliggende oorzaak uitgerold. 2332

De volledige technische oorzaak achter de verkeerde waarden is echter nog niet openbaar gemaakt. Ook is er geen definitieve compensatieregeling bekend. Vesu heeft aangegeven dat er nog een uitgebreid technisch rapport volgt. Tot dat beschikbaar is, zijn uitspraken over de precieze softwarefout, verdere schuldtoewijzing of de uiteindelijke hersteluitkomst onbevestigd. 27

De bredere les voor DeFi: correcte code heeft correcte data nodig

De Vesu-zaak toont het zogeheten oracle-probleem in DeFi scherp aan. Applicaties op de blockchain kunnen transparant en voorspelbaar draaien, maar financiële beslissingen zijn vaak afhankelijk van externe gegevens — vooral activaprijzen.

Aave: een verkeerde wstETH-waardering in maart 2026

Op 10 maart 2026 drukte een incident rond Aave’s CAPO-risico-oracle de effectieve wstETH/stETH-wisselkoers met ongeveer 2,85% op de Ethereum Core- en Prime-markten. De verkeerde waardering leidde tot circa $26,6 miljoen aan liquidatievolume. In de post-mortem werd een inconsistentie tussen een snapshotratio en de bijbehorende timestamp als oorzaak genoemd, niet een brede marktinstorting. 1011

Net als bij Vesu faalden de liquidatieregels zelf niet: ze werden toegepast op een onjuiste waardering.

Switchboard: vermoedelijke compromittering op Move-netwerken

Een ander, ernstiger type oraclerisico speelde bij Switchboard. Het netwerk stopte uit voorzorg zijn oracle-diensten op Aptos, Sui, IOTA en Movement na meldingen van een mogelijke beveiligingscompromittering van de Move-gebaseerde implementaties. De betreffende blockchains bleven zelf blokken produceren. 34

Berichten brachten het incident in verband met gemanipuleerde IOTA-prijsdata, afwijkende VUSD-uitgifte en liquidaties. Maar zolang een definitief onderzoek oorzaak en omvang niet heeft vastgesteld, moet dit worden omschreven als een vermoedelijke compromittering. 25

Welke bescherming tegen slechte oracle-data mogelijk is

Geen enkele maatregel kan garanderen dat een leenmarkt elke slechte input afwijst. Het doel is vooral te voorkomen dat een korte prijsafwijking meteen onomkeerbare schade veroorzaakt. Veelgebruikte maatregelen zijn onder meer:

• meerdere onafhankelijke prijsbronnen in plaats van één datastroom;
• afwijkingslimieten die uitzonderlijke prijsbewegingen blokkeren of een pauze activeren;
• controles op verouderde data, zodat oude waarden niet als actueel gelden;
• circuitbreakers en noodpauzes per pool;
• vertraging of extra beoordeling bij oracle-configuratiewijzigingen met grote impact; en
• voorzichtige onderpandparameters voor volatiele of complexe activa.

De afweging blijft lastig. Strengere bescherming kan een geldige reactie op een echte marktbeweging vertragen; soepelere instellingen maken automatische liquidaties gevoeliger voor foute data. Het incident bij Vesu laat zien waarom die balans centraal staat in het risicobeheer van DeFi.

Voor leners is de praktische conclusie duidelijk: liquidatierisico komt niet alleen voort uit marktvolatiliteit of exploits in smart contracts. Ook de integriteit, configuratie en operationele weerbaarheid van de oracles die de gezondheid van een positie bepalen, zijn doorslaggevend.