Default
Door Remote - 31 May 2026
De twee grootste DeFi-exploits van de afgelopen twee maanden hebben één ding gemeen. Ze gebruikten een tool die niet bestaat op de XRP Ledger.
Thorchain verloor op 15 mei ongeveer $10,8 miljoen door een cross-chain aanval die geld wegtrok bij Bitcoin, Ethereum, BSC en Base. Drift Protocol, een op Solana gebaseerde gedecentraliseerde eeuwigdurende uitwisseling, en KelpDAO, een protocol voor het terugnemen van liquide middelen op Ethereum, waren alleen al in april samen verantwoordelijk voor meer dan $600 miljoen aan verliezen.
Volgens Chainalysis hebben cross-chain bruggen sinds 2021 meer dan 2,8 miljard dollar verloren door aanvallen. En bij een aanzienlijk deel van deze exploits werd gebruik gemaakt van een variant van hetzelfde mechanisme: flitsleningen.
Een flitslening is een slimme contractfunctie waarmee een handelaar miljoenen dollars kan lenen zonder onderpand, op voorwaarde dat de lening binnen dezelfde transactie wordt terugbetaald. De legitieme gebruiksscenario's omvatten arbitrage tussen beurzen, onderpandswaps zonder posities af te wikkelen, en liquidatiebots die de solvabiliteit op de kredietmarkten in stand houden.
Het aanvalspatroon is dezelfde monteur die in de verkeerde richting wijst.
Een lener sluit de lening af, gebruikt het geld om een orakel te manipuleren of een slecht ontworpen zwembad leeg te zuigen, profiteert van de manipulatie en betaalt de lening terug, allemaal voordat de transactie is afgehandeld. Als een stap mislukt, wordt de hele reeks teruggedraaid, zodat de aanvaller niets anders riskeert dan gaskosten.
De XRP Ledger laat dit niet werken. Een ontwerpwijziging die eerder deze week werd ingediend bij de XRPL-standaardenrepository, waarin geconcentreerde liquiditeit en StableSwap-achtige pools worden voorgesteld voor de eigen geautomatiseerde marktmaker van de keten, bevatte een enkele regel in de sectie Beveiligingsoverwegingen: "Flash-leningaanvallen zijn structureel onmogelijk. XRPL-transacties zijn atomair zonder composable intra-transaction calls."
Wat dat betekent is dat XRPL-transacties volledig slagen of volledig mislukken, zoals een Ethereum-transactie. Maar in tegenstelling tot Ethereum kan een XRPL-transactie tijdens de uitvoering ervan geen ander contract oproepen. De reeks lenen-manipuleren-terugbetalen die een flitsleningaanval definieert, heeft ten minste drie geneste bewerkingen nodig binnen één enkele transactie-envelop.
Dat is een zinvolle architecturale keuze, en er zijn kosten aan verbonden. Flitsleningen zijn niet alleen een aanvalsinstrument. Ze zijn een structureel onderdeel geworden van Ethereum DeFi, waarbij Aave, dYdX en andere belangrijke protocollen ze als product aanbieden. Arbitragehandelaren gebruiken flitsleningen om prijsverschillen tussen beurzen in één enkele atoomactie op te helderen.
Liquidatiebots gebruiken ze om overgepande kredietposities solvabel te houden. Geavanceerde DeFi-gebruikers gebruiken ze voor onderpandswaps waarvoor anders kapitaal nodig zou zijn dat urenlang vast zou zitten. XRPL geeft dat allemaal op in ruil voor het volledig sluiten van de aanvalsklasse.
Gedurende het grootste deel van de geschiedenis van XRPL deed de afweging er niet toe, omdat de DeFi-voetafdruk van de keten klein was. Dat is aan het veranderen. Getokeniseerde activa uit de echte wereld op de XRP Ledger hebben een totale waarde van $3 miljard overschreden, inclusief de Ripple-JPMorgan-Mastercard-Ondo Finance-pilot van vorige maand, die een tokenized aflossing van Amerikaanse staatsobligaties in minder dan vijf seconden verwerkte.
Als het ontwerp-amendement van het AMM wordt aangenomen, zou het de kapitaalefficiëntiekloof dichten die XRPL DeFi achter Ethereum heeft gehouden, waardoor de keten wordt opengesteld voor een bredere reeks handels- en rendementsstrategieën.
Als het AMM-amendement wordt aangenomen en de DeFi-liquiditeit van XRPL groeit in de richting van iets dat institutioneel kapitaal op grote schaal kan inzetten, wordt de vraag of structurele exploitatieweerstand een echt concurrentievoordeel is of slechts een kenmerk dat instellingen negeren ten gunste van waar de liquiditeit al is.
Thorchain verloor op 15 mei ongeveer $10,8 miljoen door een cross-chain aanval die geld wegtrok bij Bitcoin, Ethereum, BSC en Base. Drift Protocol, een op Solana gebaseerde gedecentraliseerde eeuwigdurende uitwisseling, en KelpDAO, een protocol voor het terugnemen van liquide middelen op Ethereum, waren alleen al in april samen verantwoordelijk voor meer dan $600 miljoen aan verliezen.
Volgens Chainalysis hebben cross-chain bruggen sinds 2021 meer dan 2,8 miljard dollar verloren door aanvallen. En bij een aanzienlijk deel van deze exploits werd gebruik gemaakt van een variant van hetzelfde mechanisme: flitsleningen.
Een flitslening is een slimme contractfunctie waarmee een handelaar miljoenen dollars kan lenen zonder onderpand, op voorwaarde dat de lening binnen dezelfde transactie wordt terugbetaald. De legitieme gebruiksscenario's omvatten arbitrage tussen beurzen, onderpandswaps zonder posities af te wikkelen, en liquidatiebots die de solvabiliteit op de kredietmarkten in stand houden.
Het aanvalspatroon is dezelfde monteur die in de verkeerde richting wijst.
Een lener sluit de lening af, gebruikt het geld om een orakel te manipuleren of een slecht ontworpen zwembad leeg te zuigen, profiteert van de manipulatie en betaalt de lening terug, allemaal voordat de transactie is afgehandeld. Als een stap mislukt, wordt de hele reeks teruggedraaid, zodat de aanvaller niets anders riskeert dan gaskosten.
De XRP Ledger laat dit niet werken. Een ontwerpwijziging die eerder deze week werd ingediend bij de XRPL-standaardenrepository, waarin geconcentreerde liquiditeit en StableSwap-achtige pools worden voorgesteld voor de eigen geautomatiseerde marktmaker van de keten, bevatte een enkele regel in de sectie Beveiligingsoverwegingen: "Flash-leningaanvallen zijn structureel onmogelijk. XRPL-transacties zijn atomair zonder composable intra-transaction calls."
Wat dat betekent is dat XRPL-transacties volledig slagen of volledig mislukken, zoals een Ethereum-transactie. Maar in tegenstelling tot Ethereum kan een XRPL-transactie tijdens de uitvoering ervan geen ander contract oproepen. De reeks lenen-manipuleren-terugbetalen die een flitsleningaanval definieert, heeft ten minste drie geneste bewerkingen nodig binnen één enkele transactie-envelop.
Dat is een zinvolle architecturale keuze, en er zijn kosten aan verbonden. Flitsleningen zijn niet alleen een aanvalsinstrument. Ze zijn een structureel onderdeel geworden van Ethereum DeFi, waarbij Aave, dYdX en andere belangrijke protocollen ze als product aanbieden. Arbitragehandelaren gebruiken flitsleningen om prijsverschillen tussen beurzen in één enkele atoomactie op te helderen.
Liquidatiebots gebruiken ze om overgepande kredietposities solvabel te houden. Geavanceerde DeFi-gebruikers gebruiken ze voor onderpandswaps waarvoor anders kapitaal nodig zou zijn dat urenlang vast zou zitten. XRPL geeft dat allemaal op in ruil voor het volledig sluiten van de aanvalsklasse.
Gedurende het grootste deel van de geschiedenis van XRPL deed de afweging er niet toe, omdat de DeFi-voetafdruk van de keten klein was. Dat is aan het veranderen. Getokeniseerde activa uit de echte wereld op de XRP Ledger hebben een totale waarde van $3 miljard overschreden, inclusief de Ripple-JPMorgan-Mastercard-Ondo Finance-pilot van vorige maand, die een tokenized aflossing van Amerikaanse staatsobligaties in minder dan vijf seconden verwerkte.
Als het ontwerp-amendement van het AMM wordt aangenomen, zou het de kapitaalefficiëntiekloof dichten die XRPL DeFi achter Ethereum heeft gehouden, waardoor de keten wordt opengesteld voor een bredere reeks handels- en rendementsstrategieën.
Als het AMM-amendement wordt aangenomen en de DeFi-liquiditeit van XRPL groeit in de richting van iets dat institutioneel kapitaal op grote schaal kan inzetten, wordt de vraag of structurele exploitatieweerstand een echt concurrentievoordeel is of slechts een kenmerk dat instellingen negeren ten gunste van waar de liquiditeit al is.