Golf van DeFi-bridge-hacks in 2026: $328 miljoen gestolen in acht aanvallen

De grootste DeFi-inbraak van 2026 vond plaats op 18 april, toen aanvallers ongeveer 116.500 rsETH – ter waarde van zo'n $292 miljoen – weghaalden uit de cross-chain brug van KelpDAO, gebouwd op LayerZero-infrastructuur.

Onderzoek wees uit dat de aanval niet primair gericht was op een smart contract-bug. In plaats daarvan werden zwakke plekken in de verificatie-architectuur en ondersteunende infrastructuur van de brug misbruikt.

Belangrijke factoren waren:

• Configuratie met één verifieerder: KelpDAO gebruikte een 1-op-1 Decentralized Verifier Network (DVN)-opstelling, wat inhield dat één enkele verifieder cross-chain berichten kon goedkeuren.
• Gecompromitteerde infrastructuur: Aanvallers infiltreerden RPC-nodes die door het verifieersysteem werden gebruikt en manipuleerden de data waarmee de geldigheid van transacties werd bevestigd.
• Vervalst cross-chain bericht: Door de gemanipuleerde infrastructuur kon de aanvaller een bericht vervalsen dat aangaf dat tokens op een andere keten waren verbrand, waardoor het Ethereum-contract geld vrijgaf.

LayerZero en andere onderzoekers gaven aan dat de eerste aanwijzingen wezen naar Noord-Korea's Lazarus Group – met name de TraderTraitor-cluster – als de vermoedelijke dader, hoewel dit een voorlopige toeschrijving blijft en niet juridisch bevestigd.

De THORChain-exploit

Een andere opmerkelijke aanval vond plaats op 15 mei 2026, toen het cross-chain liquiditeitsprotocol THORChain ongeveer $10,8 miljoen verloor via meerdere netwerken, waaronder Bitcoin, Ethereum en BNB Chain.

Onderzoekers denken dat de exploit zich richtte op het GG20-drempelhandtekeningssysteem van het protocol, waarmee nodes gezamenlijk transacties kunnen ondertekenen zonder de volledige privésleutel prijs te geven.

Volgens incidentanalyse kan een kwaadaardige node tijdens legitieme ondertekeningsrondes geleidelijk fragmenten van cryptografisch materiaal hebben verzameld en daarmee de privésleutel van een Asgard-kluis hebben gereconstrueerd. Zodra de sleutel was teruggewonnen, kon de aanvaller ongeautoriseerde opnames ondertekenen.

De aanval benadrukte een aanhoudend risico in cross-chain systemen die vertrouwen op gedistribueerd ondertekenen: als er genoeg sleutelfragmenten worden blootgesteld of gelekt, kan de kluis die de bridge-activa beheert, worden gecompromitteerd.

De Verus–Ethereum bridge-hack

Op 18 mei 2026 werd opnieuw een bridge geplunderd: ongeveer $11,58 miljoen werd weggesluisd uit de Verus-Ethereum cross-chain brug.

De aanvaller haalde activa weg, waaronder 103,6 tBTC, 1.625 ETH en ongeveer 147.000 USDC, en zette die om in ETH.

Beveiligingsonderzoekers ontdekten dat de oorzaak een validatiegat in de bruglogica was:

• Beide kanten van de brug voerden controles uit op cross-chain transacties.
• Geen van beide zijden eiste echter dat de andere een cruciale waarde bevestigde: het overboekingsbedrag van de bronketen.

Omdat dat veld niet strikt werd afgedwongen, kon een aanvaller een bericht indienen dat geldig leek, maar vrijwel geen echte waarde op de oorspronkelijke keten vertegenwoordigde, waardoor het contract geld uit reserves kon vrijgeven.

Waarom cross-chain bruggen steeds opnieuw worden gehackt

De incidenten van 2026 bevestigden een al lang bekende waarschuwing in blockchain-beveiliging: bruggen zijn vaak het gevaarlijkste onderdeel van DeFi-infrastructuur.

Verschillende structurele zwaktes duiken telkens op bij bridge-exploits.

1. Beveiliging geconcentreerd in een kleine set validators

Bruggen vertrouwen vaak op een kleine groep validators, relayers of verifieurs om cross-chain berichten te bevestigen. Als een of meer van deze actoren worden gecompromitteerd – zoals in het KelpDAO-geval – kunnen aanvallers frauduleuze overschrijvingen autoriseren.

2. Risico van privésleutels en ondertekeningsschema's

Veel bruggen gebruiken multi-handtekening- of drempelhandtekeningssystemen om kluizen met grote tokenreserves te beheren. Als aanvallers genoeg sleutelfragmenten kunnen achterhalen of deelnemende nodes kunnen compromitteren, kunnen ze legitiem lijkende handtekeningen produceren voor kwaadaardige opnames. Dit was een vermoedelijke factor bij de THORChain-exploit.

3. Onvolledige berichtvalidatie

Bruggen moeten verifiëren dat gebeurtenissen op de ene blockchain echt hebben plaatsgevonden voordat ze activa op een andere vrijgeven. Ontbrekende controles of inconsistente validatieregels – zoals het falen van de Verus-brug om bronbedragen te bevestigen – kunnen vervalste bewijzen laten slagen.

4. Off-chain infrastructuur als aanvalsoppervlak

Cross-chain systemen zijn sterk afhankelijk van RPC-nodes, relayers, monitoringsinfrastructuur en operationele tools. Het compromitteren van die systemen kan de data vergiftigen die door brugverificatienetwerken worden gebruikt, zoals te zien was bij de KelpDAO-exploit.

Waarom de aanvallen ertoe doen voor DeFi

Bridge-exploits doen meer dan alleen geld wegsluizen – ze ondermijnen de kernbelofte van gedecentraliseerde financiën: naadloze mobiliteit van activa tussen blockchains.

Wanneer een brug faalt:

• Wrapped activa kunnen hun dekking verliezen
• DeFi-uitleenmarkten die die activa als onderpand gebruiken, kunnen bevriezen
• Liquiditeits- en cross-chain handelsroutes kunnen worden verbroken

Omdat bruggen fungeren als bewaarhubs die grote tokenreserves aanhouden, kan een enkele exploit zich over meerdere ketens en protocollen verspreiden.

De golf van aanvallen begin 2026 liet zien dat het probleem niet bestaat uit geïsoleerde bugs, maar uit systemisch architectuurrisico. Totdat brugontwerpen vertrouwen op sterkere verificatiemodellen, meer gedecentraliseerde validators en geharde operationele infrastructuur, zullen cross-chain systemen een van de meest aantrekkelijke doelwitten blijven in de crypto-beveiliging.