DeFi-risicokaart: smart contract-, oracle- en economisch risico

De meeste mensen die DeFi in stappen, maken zich zorgen over één risico – dat de koers van hun tokens daalt – terwijl de verliezen die mensen echt verrassen ergens anders vandaan komen: een bug in een contract, een gemanipuleerd oracle, een activum met een depeg of een onhoudbaar economisch ontwerp dat uiteenvalt. Deze gids is een kaart van die faalwijzen. Het doel is niet om je uit DeFi weg te jagen, maar om je bij elke positie specifiek te laten benoemen op welke manieren die geld kan verliezen, buiten "het getal is gedaald" om.

Smart contract-risico: de code zelf faalt

Elke DeFi-positie is uiteindelijk een saldo in een programma, en programma's hebben bugs. In de geschiedenis van DeFi zijn miljarden dollars verloren gegaan aan contractexploits – reentrancy-bugs, gebrekkige toegangscontrole, rekenfouten en logische fouten waarmee aanvallers geld konden minten, leegtrekken of vastzetten. De hack van The DAO in 2016 (een reentrancy-bug) is het stichtende voorbeeld; varianten op deze bugklassen komen sindsdien steeds terug.

Drie punten die het waard zijn om te onthouden:

Audits verlagen het risico; ze nemen het niet weg. Een audit is een beoordeling door mensen binnen een beperkte tijd. Tal van geauditeerde protocollen zijn toch geëxploiteerd, soms via code die na de audit is toegevoegd, soms via bugs die de auditors hebben gemist. Meerdere audits door gerenommeerde partijen, een langlopende bugbounty en formele verificatie van kerncomponenten zijn allemaal betere signalen dan één auditbadge – en nog steeds geen garanties.
Tijd in productie is bewijs. Een contract dat al jaren miljarden bewaart en meerdere marktcrashes heeft doorstaan, heeft voortdurende, goed gefinancierde aanvalspogingen overleefd. Een fork van dat contract die vorige maand door een anoniem team is uitgerold, niet, ook al ziet de code er identiek uit – de deploymentparameters, adminsleutels en integraties verschillen allemaal.
Composability vermenigvuldigt de blootstelling. DeFi-protocollen stapelen zich op: een yield vault stort in een leenmarkt die een liquid staking token als onderpand accepteert. Je positie draagt het contractrisico van elke laag, en een storing in één ervan kan naar boven doorwerken. Als je een token bezit die gewrapped, gestaked en automatisch herbelegd is, tel dan de contracten tussen jou en het onderliggende activum.

Oraclerisico: het contract is in orde, de informatie niet

Smart contracts kunnen zelf geen koersen zien; ze zijn afhankelijk van oracles – feeds die externe data on-chain melden. Een leenprotocol dat bepaalt of je lening onvoldoende gedekt is, of een exchange voor perpetuals die een positie afwikkelt, handelt op basis van welke koers het oracle ook aanlevert. Als die koers onjuist is, voert het protocol feilloos uit op slechte data – en "feilloos uitvoeren" kan betekenen dat je ten onrechte wordt geliquideerd of dat je onderpand bij een aanvaller terechtkomt.

De klassieke aanval: een protocol gebruikt een dun verhandeld platform als koersbron. De aanvaller gebruikt een flash loan om de koers op die markt kortstondig naar een absurd niveau te duwen, leent vervolgens tegen opgeblazen onderpand of lokt liquidaties uit tegen de valse koers, alles in één transactie. De Mango Markets-exploit in 2022 (ongeveer 100 miljoen dollar) volgde dit patroon – manipuleer de koers die het protocol vertrouwt en leen dan tegen de schijnwaarde.

Vragen waarmee je het oraclerisico van een positie in kaart brengt:

Waar komt de koers vandaan? Gedecentraliseerde oraclenetwerken die veel bronnen bundelen (Chainlink is het meest gebruikte) zijn veel moeilijker te manipuleren dan de spotkoers van één DEX-pool. Tijdgewogen gemiddelde koersen (TWAP's) weerstaan kortstondige pieken maar lopen achter bij echte crashes.
Hoe liquide is de bronmarkt? De wereldwijde koers van bitcoin manipuleren is praktisch onmogelijk; de koers van een kleine token op één pool manipuleren kan alleen de fee van de flash loan kosten.
Wat gebeurt er tijdens chaos? Bij hevige bewegingen kunnen oracles achterlopen of afwijken van verhandelbare koersen, met liquidaties tegen koersen tot gevolg die je op geen enkele exchange hebt gezien. Activa met een dunne markt en volatiele momenten concentreren dit risico.

Economisch risico en ontwerprisico: alles werkt zoals gecodeerd en je verliest toch

De interessantste categorie: geen bug, geen hack – de prikkels van het systeem falen gewoon.

Depegs. Elk activum dat een ander activum hoort te volgen – stablecoins, liquid staking tokens, wrapped assets – kan afwijken van zijn doel. De ineenstorting van Terra/UST in mei 2022 wiste tientallen miljarden dollars uit, en het algoritmische ontwerp faalde precies zoals critici voorspelden: het mechanisme dat de peg in rustige markten hield, versterkte de doodsspiraal zodra het vertrouwen brak. Zelfs volledig gedekte activa wankelen: USDC noteerde in maart 2023 kortstondig rond 0,87 dollar toen een deel van de reserves vastzat in het faillissement van Silicon Valley Bank. Als je positie een gepegd activum bevat of leent, verandert een depeg onmiddellijk je onderpandberekening.

Liquidatiecascades. Op leenmarkten leiden dalende koersen tot liquidaties, die onderpand verkopen, wat de koersen verder omlaag duwt, wat meer liquidaties uitlokt. Posities die behoudend gedekt leken, kunnen in een uur cascade worden weggevaagd. Gecorreleerd onderpand (een stablecoin lenen tegen twee activa die samen crashen) maakt dit erger.

Onhoudbaar rendement. Als een positie 60% APY betaalt, betaalt iemand dat. Wanneer de betaler tokenuitgifte is in plaats van echte inkomsten, stort het rendement doorgaans in samen met de koers van de uitgegeven token – vaak nadat er genoeg deposito's zijn binnengekomen om de winsten van de vroege instappers te verwateren. Reflexieve ontwerpen waarbij de rendementstoken het rendement zelf moet dekken, zijn de zuiverste vorm van dit falen.

Dynamiek van een bankrun. Leenpools beloven directe opname, maar lenen deposito's uit. Wanneer de benuttingsgraad 100% bereikt – iedereen wil tegelijk weg – komen opnames in de wachtrij te staan totdat leners terugbetalen of worden geliquideerd. Je kunt op papier solvabel zijn en in de praktijk illiquide.

Governance en menselijk risico

Sommige risico's komen van mensen met legitieme macht over het protocol.

Adminsleutels en upgrades. Veel protocollen behouden upgraderechten die bij een multisig van het team liggen. Dat is een vertrouwde partij die – door kwade opzet, dwang of een gestolen sleutel – de regels onder je geld kan veranderen. Timelocks op upgrades geven je een uitstapvenster; het ontbreken ervan is een rode vlag.
Overname van governance. Tokenstemmen kunnen worden aangevallen of gekocht; een aangenomen voorstel kan onderpandfactoren, fees of treasurystromen veranderen in strijd met jouw belang. (Dit verdient een eigen behandeling – zie de gids over governance in dit leerpad.)
Regelrechte fraude. Rug pulls – teams die lanceren, deposito's aantrekken en leegtrekken – blijven gangbaar in de lange staart. Anonieme teams, ongeauditeerde forks en rendementen ver boven de markt zijn het steeds terugkerende handelsmerk.
Regelgevende maatregelen. Sancties, handhaving of delistings kunnen front-ends bevriezen, fiat-ramps afsnijden of de liquiditeit van een token laten instorten. De contracten kunnen blijven draaien terwijl je praktische toegang verslechtert.

De kaart gebruiken: risico in een positie inprijzen

Het nut van een indeling is dat je haar als checklist doorloopt. Vraag bij elke positie:

Contract: Hoeveel lagen contracten beheren mijn geld? Hoe oud, hoe geauditeerd en hoe groot is elk?
Oracle: Welke koersfeeds kunnen mij liquideren of mijn onderpand verkeerd waarderen, en hoe manipuleerbaar zijn ze?
Economisch: Van welke pegs, liquidaties of rendementsbronnen hangt dit af? Wie betaalt het rendement en wat breekt er bij een crash?
Menselijk: Wie heeft de adminsleutels? Is er een timelock? Wie beheert de governance?

Bepaal dan de positiegrootte daarop. Een realistische vergelijking: USDC uitlenen op een grote geldmarkt die al jaren bestaat, kan twee contractlagen, robuuste oracles en een bescheiden rendement inhouden – noem het de laagrisicokant. Een pool met 45% APY farmen op een fork van een maand oud met een anoniem team stapelt alle categorieën tegelijk. Als de tweede positie vijf keer zoveel rendement betaalt als de eerste, vraag je dan af of ze maar vijf keer zoveel risico draagt. Meestal is het antwoord nee – en spreiden over protocollen, positiegroottes begrenzen en buitensporig rendement zien als een risicosignaal in plaats van een koopje is de verstandige reactie.