Hackers halen wereldwijd miljarden weg bij decentrale-financeplatforms (DeFi). Toch is het grootste deel van ieders crypto niet verzekerd tegen zulke verliezen. Dat treft ook Nederlandse en Europese beleggers, nu en de komende maanden. Het risico blijft bestaan omdat bescherming en toezicht achterlopen op de techniek.
DeFi verliest miljarden door hacks
DeFi-platforms draaien op slimme contracten, stukken code die automatisch regels uitvoeren. Bij fouten in die code kunnen aanvallers geld weghalen. Dat gebeurt via bugs, gestolen sleutels of aanvallen op zogeheten bruggen tussen blockchains. Het gaat om veel incidenten door het jaar heen, in bull- en bearmarkten.
Bruggen, leningsprotocollen en beurzen zonder tussenpersoon zijn vaak doelwit. Aanvallers gebruiken soms flitsleningen, extreem korte leningen die marktprijzen kunnen verstoren. Ook manipulatie van prijsfeeds, de zogeheten oracles, komt voor. Steeds vaker worden ook beheerdersrechten misbruikt.
De gevolgen stoppen niet bij landsgrenzen. Europese gebruikers zitten vaak in dezelfde protocollen als Amerikanen of Aziaten. Als zo’n protocol leegloopt, is iedereen geraakt, waar je ook woont. Terughalen van geld is daarna zelden haalbaar.
Verzekering dekt zelden cryptoschade
De meeste particuliere en zakelijke polissen sluiten vermogensverlies door hacks of slimme-contractfouten uit. Grote verzekeraars hebben weinig trek in dit risico. Er is weinig historische data en de schade kan in één keer zeer groot zijn. Daardoor blijft de premie hoog en de dekking smal.
Custodians en beurzen hebben soms een beperkte misdaad- of cyberschadepolis voor hun eigen hot wallets. Dat dekt meestal geen fouten van gebruikers of codefouten in DeFi. In Nederland maken aanbieders zoals Bitvavo duidelijk dat crypto niet onder het Depositogarantiestelsel valt, op het moment van schrijven. Ook buitenlandse platforms melden vaak dat er geen wettelijke garantie is op cryptotegoeden.
Er bestaan on-chain alternatieven zoals Nexus Mutual en InsurAce. Zij bieden protocolspecifieke dekking, maar met voorwaarden, dekkingslimieten en wachttijden. Claims worden on-chain gestemd en kunnen worden afgewezen. Voor veel grote hacks is de totale verzekeringscapaciteit te klein.
Bijna geen enkele cryptobelegging valt onder een wettelijke garantieregeling.
Slimme contracten blijven kwetsbaar
Een slim contract is software die een afspraak automatisch uitvoert op een blockchain. Code kan fouten bevatten, ook na meerdere audits. Audits verkleinen risico, maar geven geen garantie. DeFi is bovendien ‘composable’: protocollen bouwen op elkaar, wat nieuwe kwetsbaarheden schept.
Bekende aanvalspaden zijn re-entrancy (herhaalde ongewenste aanroepen), oraclemanipulatie en prijsflitsen met flitsleningen. Bruggen tussen ketens zijn technisch complex en een favoriet doelwit. Ook slecht beveiligde beheerderssleutels blijven een risico. Eén fout kan miljoenen aan waarde verplaatsen in seconden.
Sectorpartijen zetten in op formele verificatie, bug bounties en betere audits. Platforms als Immunefi belonen gemelde kwetsbaarheden. Auditfirma’s zoals Trail of Bits en OpenZeppelin helpen met codecontroles. Toch blijft restÂrisico bestaan zolang nieuwe code snel live gaat.
EU-regels bieden nog weinig vangnet
De Europese verordening voor crypto-assets (MiCA) is grotendeels van kracht, op het moment van schrijven. MiCA stelt eisen aan uitgifte van tokens, aan stablecoins en aan cryptodienstverleners (CASP’s). Er komen informatieplichten en kapitaalseisen, wat misleiding en operationeel risico kan beperken. Maar MiCA is geen verzekering en kent geen depositogarantie voor crypto.
De Digital Operational Resilience Act (DORA) verplicht financiële instellingen tot sterk ICT-risicobeheer. Dat helpt banken, brokers en verzekeraars die met crypto werken om weerbaarder te worden. Veel pure DeFi-protocollen vallen daar echter buiten. Daardoor blijft het grootste on-chain risico ongedekt.
In Nederland houden AFM en DNB toezicht op aanbieders die onder hun mandaat vallen. Zij waarschuwen dat digitale activa niet onder het Depositogarantiestelsel of het Beleggerscompensatiestelsel vallen. Consumentenbescherming zit vooral in transparantie en geschiktheidseisen. Wie direct in DeFi stapt, draagt het technische risico zelf.
Wat beleggers nu wél kunnen doen
Gebruik hardware wallets en splits tegoeden over meerdere wallets en diensten. Beperk toestemmingen (approvals) en trek ongebruikte rechten in met revoke-tools. Stort eerst klein, test functies, en verhoog pas daarna. Vermijd onbekende of recent geforkte protocollen zonder onafhankelijke audit.
Controleer of een partij MiCA-vergunningplichtig is en geregistreerd in de EU. Lees polisvoorwaarden en vraag naar de onderliggende verzekeraar en dekkingslimieten. Verwissel ‘proof of reserves’ niet met verzekering; het zegt niets over hacks of codefouten. Let op eigen risico’s, uitsluitingen en wachttijden.
Overweeg gerichte dekking bij aanbieders als Nexus Mutual of InsurAce, maar beoordeel zorgvuldig de voorwaarden. Diversifieer stablecoins over meerdere uitgevers en ketens om concentratierisico te verlagen. Plan voor incidenten: back-ups van seed phrases, contactroutes en limieten op transacties. Aanvaard dat het basisrisico van DeFi op dit moment niet volledig verzekerbaar is.
Vooruitzicht: kleine stapjes, geen vangnet
Meer audits, beter key-beheer en strengere EU-regels kunnen verliezen beperken. Reinsurers tonen voorzichtig meer interesse, maar vragen hoge premies. Capaciteit groeit daardoor langzaam, niet snel. Grote protocoledemingen blijven dus grotendeels onverzekerd.
Voor consumenten ligt de nadruk op preventie in plaats van compensatie. Wie rendement zoekt in DeFi, moet technische risico’s snappen en beperken. Dat vraagt tijd, discipline en hulpmiddelen. Zonder die basis is uitstappen vaak veiliger dan instappen.
Beleidsmakers kijken intussen naar gaten tussen fintech, crypto en bestaande toezichtskaders. MiCA en DORA brengen orde, maar de kern van DeFi blijft buiten het klassieke stelsel. Een wettelijk vangnet is niet in zicht. De markt zal het risico voorlopig zelf moeten prijzen en dragen.
