Summer.fi-hacker sluist $1,35 miljoen gestolen DAI door Tornado Cash
De post-mortem van Summer.fi bevestigt dat de aanvaller van 6 juli $1,35 miljoen aan gestolen DAI door Tornado Cash heeft geleid, waardoor een vrijwillige teruggave steeds onwaarschijnlijker wordt.
De eigen post-mortem van Summer.fi heeft bevestigd wat on-chain trackers al vermoedden: de aanvaller is bezig met witwassen. Ongeveer $1,35 miljoen aan gestolen DAI is doorgesluisd via Tornado Cash, de gesanctioneerde crypto-mixer die de LINK$12,23▼2,50% tussen bron- en bestemmingswallets doorbreekt — en de eigen bewoordingen van het protocol in die post-mortem lieten weinig ruimte voor optimisme. De beweging werd omschreven als bewijs van “beperkte intentie om de middelen vrijwillig terug te geven”, zo meldde The Defiant. Vertaling: het venster voor een onderhandelde teruggave sluit snel.
De hack van 6 juli 2026 onttrok ongeveer $6 miljoen aan DAI aan het DeFi-leenplatform. Dat cijfer is belangrijker dan het kale dollarbedrag doet vermoeden. Summer.fi heeft zijn reputatie opgebouwd op non-custodial, door gebruikers gecontroleerde posities — de exploit raakte precies het vertrouwensmodel dat het protocol aan depositohouders verkoopt. Zes miljoen is bescheiden naar de maatstaven van de grootste DeFi-overvallen, maar het is meer dan genoeg om te bepalen hoe gebruikers en tegenpartijen de komende maanden naar het risicoprofiel van het protocol zullen kijken.
De aanvaller stapte niet rechtstreeks Tornado Cash binnen. Volgens Whale Alert werden de middelen eerst via Uniswap geleid, en pas daarna naar de mixer. Klassiek witwasvakwerk — handelen op een gedecentraliseerde exchange voegt transactielagen toe die het traceren bemoeilijken, voordat Tornado Cash de laatste verhulling voor zijn rekening neemt. Van de totale $6 miljoen is ongeveer $1,35 miljoen bevestigd witgewassen. De resterende $4,65 miljoen is nog altijd onvindbaar en bevindt zich ergens in wallets die onder controle staan van de aanvaller.
De woordkeuze van Summer.fi in de post-mortem was weloverwogen. Door de beweging naar Tornado Cash te bestempelen als teken van “beperkte intentie om de middelen vrijwillig terug te geven”, zoals The Defiant meldde, erkent het protocol dat een whitehat-teruggave of een via een bounty bemiddelde schikking er niet goed uitziet. Het whitehat-pad is een reëel scenario binnen DeFi — aanvallers geven gestolen middelen soms terug, doorgaans in ruil voor een bounty van 10 tot 20 procent, wanneer publieke druk en juridische risico’s het aanhouden van het geld meer moeite kost dan het oplevert. Mixeractiviteit maakt die afweging volledig onmogelijk. Een aanvaller die middelen door Tornado Cash laat lopen, toont geen onachtzaamheid of bereidheid tot een deal; die toont discipline.
Tornado Cash werkt door deposito’s te bundelen en opnames uit te keren die geen cryptografische link dragen naar een specifiek deposito. Zodra middelen erdoorheen zijn gegaan, wordt traceren en terugvorderen voor onderzoekers extreem moeilijk, aldus analyse van Ainvest. De mixer staat sinds augustus 2022 onder sancties van het Amerikaanse ministerie van Financiën (OFAC). Elke interactie ermee brengt juridische risico’s met zich mee voor de aanvaller en versmalt de uitwegen richting een gereguleerde beurs — en voor Summer.fi en welk blockchain-analysebureau het ook mag inschakelen, voegt die sanctiestatus een juridische dimensie toe aan een toch al lastig technisch probleem.
De hack komt op een moment dat de markt al onder druk staat. De totale marktkapitalisatie van crypto bedraagt $2.244,52 miljard, een daling van 1,2% over 24 uur, met de Fear & Greed Index op 28 van de 100 — diep in angstgebied. BTC$80.965,00▼1,62% staat op $62.690, een daling van 1,6% op de dag. ETH$2.398,96▼2,00% staat op $1.776. De bredere DeFi-sector heeft dit jaar een gestage stroom van exploits gevolgd door witwassen via mixers moeten verwerken, en dat patroon tast het vertrouwen van gebruikers aan op een manier die protocollen onder druk zet om meer te investeren in audits, realtime monitoring en dreigingsrespons.
Voor Summer.fi zijn de directe vragen operationeel van aard — en de meeste blijven onbeantwoord. Het protocol heeft nog niet publiekelijk bekendgemaakt hoe de exploit precies werkte: een bug in een smart contract, manipulatie van een oracle, of een falen in de toegangscontrole. Er is geen openbare bevestiging van samenwerking met blockchain-analysebureaus zoals Chainalysis of TRM Labs. Geen bevestigd contact met opsporingsdiensten. Geen formeel on-chain bounty-aanbod. De $4,65 miljoen die zich nog buiten de mixer bevindt, is op dit moment de enige levende variabele; zolang dat bedrag in wallets van de aanvaller blijft staan, is er een smal pad naar traceren en mogelijk bevriezen — maar als het, net als de eerste $1,35 miljoen, alsnog in Tornado Cash verdwijnt, sluit het venster voor Summer.fi om iets terug te krijgen vrijwel volledig.
Marcus Feld
Marcus Feld is de DeFi- en on-chain-analist van CoinScoop. Hij duikt in L2-activiteit, stablecoinstromen en protocolinkomsten, en vertaalt ruwe blockchaindata naar heldere conclusies.