Governance-aanval bij Hifi Finance: zo controleer je je DeFi-onderpand

Bij het DeFi-protocol Hifi Finance heeft een tot nu toe onbekend adres op 28 oktober 2026 de controle over de stemming van het protocol gekregen en daarna onderpand van gebruikers ter waarde van ongeveer 1 miljoen dollar weggehaald, tegen de koers van 29 oktober zo'n 900.000 euro. Dat meldt de on-chain-onderzoeker Spreek, op wiens analyse de berichtgeving van die dag rust. Vier stemmen, kort voor het einde van een lopende stemming uitgebracht, waren daarvoor genoeg. Daarna muntte hetzelfde adres 25 miljoen nieuwe governance-tokens.

Voor Europese beleggers telt hier minder het losse geval dan het patroon. Een governance-aanval heeft geen zwakke plek in de programmacode nodig waar een audit op zou stuiten. Hij gebruikt de stemregels zelf, en die staan bij veel protocollen open en zonder wachttijd op het net. Wie coins als onderpand bij een DeFi-protocol stalt, draagt dat risico mee, ook als zijn eigen wallet nooit wordt aangeraakt.

Wat er bij Hifi Finance gebeurde: vier stemmen kort voor het slot

Hifi Finance is een leenprotocol op Ethereum. Gebruikers brengen waarden in als onderpand en lenen daartegen tegen een vaste rente. Over wijzigingen aan het protocol beslist een DAO, een organisatie waarvan de besluiten via een stemming van de tokenhouders tot stand komen en automatisch worden uitgevoerd.

Volgens de beschrijving van Spreek werd het aanvallende adres gefinancierd via Tornado Cash, een dienst die de herkomst van overboekingen op de blockchain versluiert. Vier overboekingen uit die bron voorzagen het adres van stemgewicht. De stemmen vielen in de slotfase van een al lopende stemming, dus op een moment waarop andere houders nauwelijks nog konden reageren. Met de meerderheid in handen was het besluit door te drukken, en dat besluit stond het munten van 25 miljoen governance-tokens toe. De uitstroom van het onderpand volgde na het besluit en na het munten.

Een reactie van Hifi Finance op de gang van zaken was er op 29 oktober niet. Alle genoemde cijfers en stappen gaan terug op de analyse van Spreek en zijn als voorlopig te lezen; een eigen bevestiging door het project is er tot nu toe niet.

25 miljoen nieuwe tokens, 8.255 dollar dagomzet: de rekensom van de aanvaller

De 25 miljoen vers gemunte tokens klinken als de grotere schade, en dat zijn ze niet. HIFI stond op 29 oktober op 0,00132 dollar, volgens de cijfers van CoinGecko. Het totale aanbod van de token ligt rond 141,98 miljoen stuks. De nieuw gemunte 25 miljoen komen daarmee overeen met ongeveer 17,6 procent van het totale aanbod.

Op papier zijn die tokens zo'n 33.000 dollar waard. Verkopen laten ze zich in die orde van grootte echter niet: de handel in HIFI kwam over 24 uur op net 8.255 dollar. De gemunte hoeveelheid is vier keer zo groot als wat er op een hele dag van eigenaar wisselt. Een verkoop had de koers in elkaar laten zakken voordat een noemenswaardig deel van eigenaar was gewisseld.

Dat verklaart waarom het ingebrachte onderpand het doel was en niet de token. Het munten diende als middel om de controle over het protocol om te zetten in toegang tot andermans waarden.

RWA-tokens als onderpand: het eigenlijke doel van de uitstroom

Het weggehaalde onderpand bestond volgens de beschikbare berichten overwegend uit RWA-tokens. RWA staat voor real world assets: tokens die een aanspraak op een waarde buiten de blockchain vastleggen, bijvoorbeeld op obligaties, kredieten of vastgoeddelen.

Deze stukken zijn populair als onderpand, omdat hun koers rustiger ligt dan die van een altcoin. Precies dat maakt ze aantrekkelijk voor een aanvaller. Een gestolen altcoin verliest bij de verkooppoging waarde; een RWA-token met een stabiele onderliggende waarde laat zich eerder te gelde maken. Welke waarden een leenprotocol als onderpand aanneemt en welke voorwaarden daaraan hangen, staat in de protocolvoorwaarden van de betreffende aanbieder.

Governance-aanval uitgelegd: hoe geld uit Tornado Cash stemrecht wordt

Een governance-aanval is het verwerven van stemgewicht in een DAO met het doel een eigen besluit door te drukken. In de gedocumenteerde gevallen zijn verschillende wegen daarheen te onderscheiden.

De eenvoudigste is het bijkopen van stemrecht op de markt. Dat werkt vooral daar waar de governance-token weinig kost, maar de beheerde middelen hoog zijn. Bij de flashloan neemt de aanvaller een krediet op dat binnen één transactie wordt opgenomen en terugbetaald; het verschaft voor het moment van de stemming een stemgewicht dat de aanvaller nooit heeft bezeten. Het kwaadaardige voorstel ten slotte is een besluitvoorstel waarvan de tekst onopvallend klinkt, maar waarvan de uitgevoerde code rechten verschuift. Onder die vorm staat de zaak Hifi Finance in de registers. Daar komt het overnemen van rustende stemmen bij, dus van tokens die hun houders nooit hebben gedelegeerd en die bij een lage opkomst de beslissing brengen.

Al die wegen hebben gemeen dat de programmacode van het protocol precies zo werkt als hij is geschreven. Een audit die fouten in de code zoekt, vindt hier niets. Hoe ver dat reikt, liet in augustus 2026 de zaak Term Finance zien, waarover wij onder de vraag berichtten waarom gecontroleerde code bij governance-exploits niet beschermt.

Drie governance-aanvallen in zes dagen: X100, Yapeswap en Hifi Finance

De zaak Hifi Finance staat niet alleen. Een telling van het openbare hackregister van DefiLlama, dat 1.328 incidenten bevat, levert voor de zeven dagen tot 29 oktober 2026 elf gedocumenteerde incidenten op de cryptomarkt als geheel op, en daaronder drie die als governance-aanval worden geboekt. Alle drie vielen in een venster van zes dagen. Deze telling heeft cryptoticker.io op 29 oktober 2026 zelf gemaakt.

• 24 oktober 2026, X100: 4,75 miljoen dollar, geboekt als flashloan-governance-aanval op Ethereum. Over die zaak hebben wij beschreven hoe een flashloan twee van de drie senaatszetels kocht.
• 25 oktober 2026, Yapeswap: 21.900 dollar, kwaadaardig voorstel, eveneens op Ethereum.
• 28 oktober 2026, Hifi Finance: kwaadaardig voorstel op Ethereum. Een schadebedrag is in het register nog niet opgenomen.

Over een langere periode bekeken verliest het beeld wat scherpte, maar het blijft duidelijk. In de 90 dagen tot 29 oktober 2026 noteert het register zeven governance-aanvallen met een schadesom van samen 22,58 miljoen dollar, over twaalf maanden twaalf gevallen met 47,9 miljoen dollar. Drie gevallen in zes dagen liggen daarmee duidelijk boven het gemiddelde van die twaalf maanden.

Een ouder voorbeeld laat zien dat de grootte van het protocol daarbij geen rol speelt: de BONK-DAO verloor in juli 2026 volgens dezelfde registercijfers 20 miljoen dollar, zonder dat er een hack in de gebruikelijke zin was.

HIFI-koers zakt 25 procent: marktwaarde onder 200.000 dollar

De token zelf heeft duidelijk op de gang van zaken gereageerd. HIFI gaf binnen 24 uur 25,4 procent af en stond op 29 oktober 2026 op 0,00132 dollar. De marktwaarde ligt daarmee op 186.141 dollar. Tegenover de recordstand van 2,63 dollar, bereikt op 16 september 2023, ontbreekt 99,95 procent. Alle vier waarden komen van CoinGecko.

Deze cijfers zijn voor de beoordeling belangrijker dan ze op het eerste gezicht lijken. Een protocol waarvan de governance-token in totaal minder waard is dan een appartement, beheert in het geval Hifi Finance onderpand in de miljoenen. De verhouding tussen de prijs van de controle en de waarde van het gecontroleerde is de eigenlijke prikkel om aan te vallen. Waar een token goedkoop is en de beheerde middelen hoog zijn, loont het bijkopen van stemrecht.

Timelock en quorum: de twee stelknoppen van elke DAO-stemming

Twee begrippen bepalen hoe kwetsbaar een stemming is. Een timelock is een wachttijd tussen het besluit en de uitvoering ervan; die geeft de overige houders tijd om een besluit op te merken en middelen weg te halen. Een quorum is de minimale opkomst die een besluit nodig heeft om te gelden.

Hoe langer de timelock en hoe hoger het quorum, hoe duurder een aanval wordt. Beide kosten echter beweeglijkheid: een protocol met een wachttijd van zeven dagen kan niet binnen enkele uren op een noodgeval reageren. Protocollen kiezen hier verschillend, en die keuze is openbaar na te lezen. Hoe Hifi Finance deze waarden had gezet, valt uit het beschikbare materiaal niet op te maken; het project heeft zich daarover tot nu toe niet uitgelaten.

MiCA en DeFi: geen depositogarantie voor onderpand in een protocol

Wie in Nederland coins bij een aanbieder onder toezicht heeft staan, denkt snel aan de garantiestelsels die hij van de bank kent. Voor een DeFi-protocol geldt daarvan niets. MiCA, de EU-verordening over markten in cryptoactiva, legt verplichtingen op aan ondernemingen die cryptoactiva beroepsmatig bewaren, verhandelen of uitgeven, en vraagt daarvoor een vergunning; de AFM houdt daar in Nederland toezicht op. Een protocol zonder exploitant, waarvan de regels door een DAO worden vastgesteld, is zo'n onderneming niet en valt in de praktijk niet onder die verplichtingen.

Daaruit volgen drie dingen. Er is geen depositogarantie voor waarden die je een protocol als onderpand overlaat. Er is geen toezichthouder bij wie je het verlies kunt melden en een vergoeding kunt verwachten. En er is geen verplichting van het protocol om de schade te vergoeden; of houders iets terugkrijgen, hangt af van de goede wil en de middelen van de betreffende DAO.

Dat is geen argument tegen DeFi, maar wel een argument voor een duidelijke scheiding. Middelen die je niet wilt verliezen, horen niet in een protocol waarvan je de stemregels niet hebt bekeken.

Zelf bewaren tegenover bewaren door het protocol: waar je coins echt liggen

Het beslissende verschil zit in de vraag wie de sleutel heeft. Liggen coins in je eigen wallet, dan raakt een governance-aanval op een protocol ze niet. Heb je ze als onderpand ingebracht, dan bewaart een contract ze waarvan een stemming de regels bepaalt.

Beide hebben hun plaats. Zonder ingebracht onderpand is er geen krediet en geen rendement uit lending. Alleen zou de verdeling een beslissing moeten zijn en geen bijwerking. Het deel van je bezit dat moet rusten, hoort op een drager die je zelf in handen hebt; welke apparaten zich daarvoor lenen en wat ze kosten, staat in onze vergelijking van hardware wallets.

Het patroon achter de gevallen: goedkope stemmen, duur onderpand

Wat de drie gevallen van de afgelopen week verbindt, is geen technische fout. Het is een prijsverhouding. Stemrecht was goedkoper te krijgen dan de waarde waarover het beschikt. Zolang een governance-token in koers vervalt terwijl het onderpand in het protocol zijn waarde houdt, verschuift die verhouding verder in het voordeel van een aanvaller.

Voor de beoordeling van een protocol betekent dat: de marktwaarde van de governance-token in verhouding tot de beheerde middelen is een kengetal dat beleggers net zo zouden moeten lezen als de rentevoet. Beide cijfers staan openbaar.

DeFi-onderpand: drie vragen voor je volgende storting

1. Hoe hoog is de governance-token gewaardeerd tegenover de beheerde middelen? Ligt de marktwaarde van de token ver onder het onderpand dat in het protocol ligt, dan is het bijkopen van stemrecht rekenkundig aantrekkelijk. Bij welke aanbieders voorwaarden en onderpand open worden vermeld, loop je per aanbieder na.
2. Welke wachttijd ligt er tussen besluit en uitvoering? Zonder timelock werkt een besluit meteen, en niemand kan ertussen komen. Zoek je rendement in het protocol, dan vind je de voorwaarden van de afzonderlijke aanbieders bij die aanbieders zelf.
3. Welk deel van je bezit moet eigenlijk in het protocol liggen? Wat niet moet werken, heeft geen contract nodig. Het heeft een sleutel in jouw hand nodig. De apparaten daarvoor staan in de vergelijking van hardware wallets.

Een governance-aanval valt niet de wallet aan, hij valt de stemming aan. Bij Hifi Finance waren vier stemmen in de slotfase genoeg om 25 miljoen tokens te munten en onderpand ter waarde van ongeveer 1 miljoen dollar te bewegen. De token zelf gaf 25,4 procent af en is in totaal minder waard dan het onderpand waarover hij beschikte. Drie zulke gevallen in zes dagen wijzen erop dat deze prijsverhouding momenteel systematisch wordt uitgebuit.

De berichten over de gang van zaken rusten tot nu toe op één enkele on-chain-analyse; een reactie van het project blijft uit. Het schadebedrag is daarmee nog niet hard, het patroon wel.

(Per 29 oktober 2026. Dit artikel is geen beleggingsadvies. Koersen en tarieven veranderen; controleer de voorwaarden bij de aanbieder voordat je koopt.)

Bronnen: DefiLlama, register van gedocumenteerde incidenten en ChainCatcher over de on-chain-analyse van Spreek.