Een prijsexploite gericht op InsurancePool en CoreVault op BNB Chain heeft geleid tot verliezen van ongeveer $111.000, nadat een aanvaller een grote flash loan gebruikte om liquiditeitsprijzen te verstoren en een opgeblazen opname te activeren, aldus het blockchain-beveiligingsmonitoringplatform OnchainLens.

De aanvaller leende circa $143,6 miljoen aan Wrapped BNB (WBNB) — de getokeniseerde vorm van BNB die veelvuldig wordt gebruikt op de gedecentraliseerde beurzen en leningmarkten van BNB Chain — via het Moolah-platform van Lista DAO, voordat een reeks grote transacties werd uitgevoerd die ontworpen waren om marktprijzen te verstoren. De manipulatie stelde de aanvaller in staat om aanzienlijk meer BNB uit de gerichte pool op te nemen dan de heersende omstandigheden normaal gesproken toestaan.

Het incident belicht de aanhoudende beveiligingsrisico's voor protocollen in gedecentraliseerde financiering (DeFi) die afhankelijk zijn van liquiditeitsprijzen en externe marktactiviteit om opnames en terugbetalingen te berekenen.

Flash loan gebruikt om prijzen op BNB Chain te manipuleren

De aanval begon met het verkrijgen van ongeveer $143,6 miljoen aan WBNB via een flash loan die mogelijk werd gemaakt door Moolah van Lista DAO. Flash loans stellen gebruikers in staat om aanzienlijke hoeveelheden cryptocurrency te lenen zonder conventionele onderpand te storten, mits de geleende fondsen binnen dezelfde blockchaintransactie worden terugbetaald.

Dit mechanism wordt veel gebruikt in gedecentraliseerde financiering voor arbitrage en andere legitieme handelsstrategieën. Kwetsbaarheden in prijsmechanismen kunnen echter ook aanvallers in staat stellen om flash loans te gebruiken om marktcondities tijdelijk te manipuleren. Dat risico vloeit voort uit hoe veel on-chain markten activa prijzen: waarderingen worden afgeleid uit de tokenbalansen in een liquiditeitspool op exact het moment dat een transactie wordt uitgevoerd, waardoor grote swaps binnen één transactie genoteerde prijzen ver van bredere marktniveaus kunnen duwen.

Na het verkrijgen van de geleende WBNB voerde de aanvaller grote swaps uit om de liquiditeitsprijzen binnen het gerichte ecosysteem te verstoren. Deze transacties wijzigden de prijscondities die de getroffen protocollen gebruikten om de waarde van beschikbare activa voor opname te bepalen.

Door tijdelijk de liquiditeitsprijzen te manipuleren via grote swaps, exploiteerde de aanvaller het waarderingsmechanisme achter InsurancePool en CoreVault om een opgeblazen terugbetaling op BNB Chain te activeren. De prijsverstore creëerde de mogelijkheid om activa op te nemen tegen een waarde die de onderliggende liquiditeitscondities niet nauwkeurig weerspiegelde.

Opgeblazen opname leidde tot poolverliezen

Na de prijzenmanipulatie activeerde de aanvaller een opname van 260,21 BNB, ter waarde van ongeveer $180.300 op het moment van het incident. De opname vormde de kern van de exploit, omdat de gemanipuleerde prijscondities de aanvaller in staat stelden activa uit de gerichte pool te halen tegen een opgeblazen waardering.

Na het voltooien van de opname draaide de aanvaller de eerdere transacties terug om de eerdere marktsituatie te herstellen. Deze stap ontmantelde de tijdelijke prijsverstore en stelde de aanvaller tegelijk in staat om de fondsen terug te krijgen die nodig waren om de flash loan af te lossen. De geleende WBNB werd vervolgens binnen dezelfde transactie terugbetaald, waarmee werd voldaan aan de terugbetalingseis van de flash loan.

Het verschil tussen de ongeveer $143,6 miljoen die geleend werd en de circa $111.000 die werd buitgemaakt, illustreert de economie van dit type aanval: omdat flash loans geen onderpand vereisen en de hoofdsom wordt terugbetaald voordat de transactie sluit, kan een aanvaller kapitaal op institutionele schaal inzetten gedurende de duur van één transactie zonder het te bezitten.

Volgens de gerapporteerde transactiecijfers hield de aanvaller een nettowinst van circa 160,26 BNB over, vóór aftrek van gas Kosten. De gerichte pool leed naar schatting een verlies van ongeveer 179,5 BNB, ter waarde van circa $111.000.

OnchainLens documenteerde de aanvalssequentie in een post op X:

INSURANCEPOOL / COREVAULT EXPLOITED FOR ~$111K ON BNB CHAIN

An attacker appears to have used flash loan price manipulation to trigger an inflated redemption payout.

Attack sequence:

1. Borrowed ~$143.6M in WBNB via Lista DAO's Moolah.
2. Manipulated liquidity pool prices through large swaps.
3. Triggered a 260.21 BNB (~$180.3K) withdrawal from InsurancePool via CoreVault.
4. Reversed swaps and repaid the flash loan.
5. Walked away with 160.26 BNB ($111K) before gas.

InsurancePool's net BNB depletion was ~$179.5K.

— Onchain Lens (@OnchainLens) November 4, 2026

Vernieuwde bezorgdheid over de beveiliging van DeFi-prijsmechanismen

Het incident toont aan hoe flash loans kwetsbaarheden in DeFi-protocollen kunnen vergroten wanneer prijs- en opnamemechanismen worden blootgesteld aan tijdelijke liquiditeitsverstoringen. Prijzenmanipulatie via flash loans is inmiddels een terugkerend exploitpatroon in de sector, omdat protocollen die waarderingen rechtstreeks uit on-chain poolprijzen lezen, de gevoeligheid van die prijzen voor direct voorafgaande transacties erven.

Flash loans zijn op zichzelf niet inherent kwaadaardig. Ze bieden toegang tot kapitaal zonder traditionele onderpandvereisten en ondersteunen een reeks legitieme gedecentraliseerde handelsactiviteiten. Aanvallers kunnen echter zwakke punten in prijsberekeningen misbruiken door grote bedragen te lenen, transacties uit te voeren die marktwaarderingen beïnvloeden, en activa op te nemen voordat ze die transacties terugdraaien.

Protocollen die sterk leunen op op liquiditeit gebaseerde prijsmechanismen lopen bijzondere risico's als hun systemen niet adequaat kunnen onderscheiden tussen tijdelijke marktverstoringen en duurzame activawaarderingen. Dat is een van de redenen waarom het ontwerp van oracles als een kernbeslissing op het gebied van beveiliging wordt beschouwd: oracles die externe marktdata aggregeren of prijzen in de tijd vloeiend maken, zijn over het algemeen minder gevoelig voor verstoringen in één transactie dan cijfers die rechtstreeks uit een liquiditeitspool worden gelezen.

De exploit onderstreept ook het belang van beveiligingsmaatregelen zoals onafhankelijke prijsoracles, opnamelimieten, liquiditeitsbescherming en monitoring op transactieniveau. Deze mechanismen kunnen de kans verkleinen dat tijdelijke prijsschommelingen leiden tot ongeautoriseerde of overmatige activaopnames.

Het incident van circa $111.000 illustreert de financiële risico's van onvoldoende prijsbescherming in gedecentraliseerde financiering, vooral wanneer aanvallers flash loans kunnen combineren met grootschalige markenmanipulatie.

Beveiligingsmonitoring blijft cruciaal voor DeFi-platforms

De exploit op InsurancePool en CoreVault voegt zich bij de beveiligingsuitdagingen waarmee gedecentraliseerde financieringsplatforms op meerdere blockchainnetwerken worden geconfronteerd. Nu DeFi-toepassingen steeds complexere liquiditeitsconstructies en onderling verbonden financiële diensten beheren, kunnen zwakke punten in individuele protocollen aanvallers kansen bieden om fondsen te onttrekken via zorgvuldig opgezette transacties.

Het gerapporteerde incident illustreert ook de waarde van realtime blockchainmonitoring bij het identificeren van verdachte leen-, handels- en opnameactiviteit. In dit geval werd de volledige sequentie — lenen, swappen, opnemen, terugdraaien, aflossen — gereconstrueerd en gepubliceerd door OnchainLens, waardoor andere protocolteams een concrete referentie hebben voor het patroon dat hun beveiligingsmaatregelen moeten detecteren.

Voor protocolontwikkelaars blijft het versterken van prijsvalidatie en het voorkomen van abnormale liquiditeitsbewegingen essentieel om gebruikersfondsen te beschermen. De effectiviteit van deze maatregelen kan een belangrijke rol spelen bij het behouden van vertrouwen in gedecentraliseerde financiële toepassingen.

Bron: CoinTrust