Je hebt een protocol gevonden met een strakke website, een auditrapport en een opbrengst die hoger ligt dan op je spaarrekening. De vraag in je hoofd is niet meer óf je instapt, maar met hoeveel. Precies op dat moment wordt DeFi-risico het vaakst onderschat. (DeFi, decentralized finance, zijn financiële diensten zoals lenen en ruilen die op de blockchain draaien, zonder bank ertussen.)

Het korte antwoord, DeFi-risico schat je in door vijf dingen na te gaan. Waar komt de opbrengst vandaan, wat gebeurt er als de code faalt, wie kan de regels veranderen, waar komen de prijzen vandaan en hoe snel kun je eruit? Een audit (een externe controle van de code) en een hoge TVL (Total Value Locked, het bedrag dat in een protocol staat) beantwoorden geen van die vragen volledig.

Dat is geen reden om DeFi te mijden. Behandel het als elke andere positie in je portfolio, je weet vooraf hoeveel je erin zet en wanneer je eruit gaat. Veiligheid zit niet in een keurmerk. Het zit in je eigen structuur.

Hoe veilig is DeFi eigenlijk?

DeFi is zo veilig als de zwakste schakel in de keten, de code, de beheerders, de prijsdata en je eigen wallet. Er is geen bank die garant staat en geen loket waar je naartoe kunt als het misgaat.

Bij een bank is de bank je tegenpartij. In DeFi is dat de code, en die voert uit wat erin staat, ook als de makers iets anders bedoelden. Wat weg is, is meestal weg. Wil je eerst de basis helder hebben, lees dan wat DeFi is.

Zie risico daarom in lagen.

• De code, een fout in het smart contract waardoor geld eruit kan.
• De beheerders, wie het protocol kan aanpassen, pauzeren of leeghalen.
• De prijsdata, de bron die het protocol vertelt wat een token waard is.
• De liquiditeit, of je eruit kunt op het moment dat je dat wilt.
• Jijzelf, een verkeerde goedkeuring, een nepsite of een seed phrase (de reservewoorden waarmee je je wallet herstelt) die digitaal ergens staat.

Een protocol kan op vier lagen sterk zijn en op de vijfde je hele inleg kosten. Daarom kijk je naar alle vijf.

Betekent een audit dat een protocol veilig is?

Nee. Een audit is een momentopname, een extern team heeft één versie van de code op één moment bekeken. Het verkleint de kans op bekende fouten, maar zegt niets over latere updates, over de beheerders of over hoe het protocol samenwerkt met andere protocollen.

Een audit is dus een begin, geen eindpunt. Kijk in het rapport welke versie van de code is bekeken, of die versie nog draait en of de bevindingen echt zijn opgelost of alleen "erkend".

Met TVL is het net zo. Total Value Locked vertelt hoeveel geld er in een protocol staat, niet hoe veilig het is. Een grote pot trekt ook de beste aanvallers aan. En TVL kan kunstmatig hoog zijn als het protocol gebruikers beloont met een eigen token, zodra die beloning stopt, kan het geld net zo snel weer vertrekken.

Wat is smart contract risico?

Smart contract risico is de kans dat de code van een protocol zich anders gedraagt dan bedoeld, door een fout of door misbruik. Omdat transacties onomkeerbaar zijn, is geld dat via zo'n fout verdwijnt meestal niet terug te halen.

Wat dit risico groter maakt dan het lijkt, is stapelen. DeFi-protocollen bouwen op elkaar. Je zet tokens in een liquidity pool, krijgt daar een bewijsje voor terug, en zet dat bewijsje weer in een tweede protocol voor extra opbrengst. Elke laag voegt een eigen smart contract toe. Faalt er één, dan kan de hele toren omvallen, ook als het protocol waar je begon nooit een fout had.

Reken het dus eerlijk, drie protocollen op elkaar is drie keer smart contract risico, niet één.

Welke vijf vragen stel je voor je geld in een protocol zet?

Stel deze vijf vragen bij elk protocol, en schrijf de antwoorden op. Kun je er één niet beantwoorden, dan is dat je antwoord, nog niet instappen.

1. Waar komt de opbrengst vandaan? Van handelskosten van andere gebruikers, van rente die leners betalen, of van nieuwe tokens die het protocol zelf uitgeeft? Kun je het niet in één zin uitleggen, dan ben je zelf mogelijk de bron van de opbrengst.
2. Wat gebeurt er als de code faalt? Hoeveel audits zijn er, hoe lang draait het al, is er een bug bounty (een beloning voor wie een fout meldt in plaats van misbruikt), en hoeveel lagen stapel je?
3. Wie kan de regels veranderen? Kan één persoon of een klein team het contract aanpassen? Is er een multisig, waarbij meerdere sleutels nodig zijn? Zit er een timelock op, zodat wijzigingen pas na een wachttijd ingaan en jij tijd hebt om eruit te gaan?
4. Waar komen de prijzen vandaan? Een protocol dat leent of liquideert (onderpand dwingend verkoopt als het te weinig waard wordt), heeft een prijsbron nodig, een oracle. Is die bron te manipuleren? En als er een stablecoin in je positie zit, hoe houdt die zijn koppeling vast? Lees daarvoor stablecoins uitgelegd.
5. Hoe snel kun je eruit? Is er een lock-up (een periode waarin je geld vastzit), een wachtrij voor opnames, een ontkoppelperiode bij staken? Is er genoeg liquiditeit in de pool om je positie te verkopen zonder de prijs te verschuiven?

Dit is huiswerk, geen strikvraag. Jouw input bepaalt het resultaat.

Wil je dit op jouw eigen portfolio toepassen?Plan een gesprek

Hoeveel van je portfolio zet je in DeFi?

Zoveel dat een totaal verlies in één protocol je plan niet breekt. Dat bepaal je vooraf in vaste percentages, een maximum voor DeFi als geheel en een lager maximum per protocol.

Een fout in de code kun je niet uitsluiten. Je kunt wel bepalen hoeveel zo'n fout je kost.

Spreiden over protocollen werkt alleen als die protocollen niet op elkaar leunen. Vier pools die allemaal draaien op dezelfde stablecoin of dezelfde brug, zijn in de praktijk één risico. Hoe DeFi past in de verdeling van je totale portfolio, lees je in een crypto portfolio opbouwen.

Is een hogere opbrengst een teken van een beter protocol?

Meestal niet. Een hogere opbrengst is een vergoeding voor meer risico, of een beloning in een token dat vooral waarde houdt zolang er nieuw geld binnenkomt.

Opbrengst in DeFi komt ergens vandaan. Handelskosten en rente zijn echte inkomsten. Nieuwe tokens die een protocol uitdeelt om gebruikers te trekken, zijn dat niet, die drukken de prijs van hetzelfde token zodra ontvangers ze verkopen. Een opbrengst die opvallend hoog is, verdient dus eerst de vraag waar hij vandaan komt.

Daarnaast zit er in liquidity pools een kostenpost die je niet op het dashboard ziet staan. Als de prijzen van de twee tokens in een pool uit elkaar lopen, houd je minder waarde over dan wanneer je de tokens gewoon had vastgehouden. Dat heet impermanent loss, en het kan een mooie opbrengst volledig opeten.

Hoe houd je je DeFi-posities veilig als je er eenmaal in zit?

Door op vaste momenten te controleren en vooraf op te schrijven wanneer je eruit gaat.

• Veiligheid eerst, gebruik een hardware wallet voor posities van betekenis en sla niks digitaal op, ook je seed phrase niet.
• Goedkeuringen opruimen, elke keer dat je een protocol toegang geeft tot je tokens, blijft die toegang staan. Trek goedkeuringen in die je niet meer gebruikt.
• Maandelijkse controle, zijn er updates aan het contract, veranderingen in beheer, grote bewegingen in TVL of problemen met een stablecoin in je positie?
• Exitregels op papier, bijvoorbeeld eruit als de beheerders zonder timelock iets wijzigen, als een stablecoin in je positie zijn koppeling verliest, of als de opbrengst alleen nog uit uitgedeelde tokens bestaat.

Wat beschermt je beter, meer kennis of een vaste structuur?

Een vaste structuur. Kennis helpt je de vijf vragen te beantwoorden, maar structuur zorgt dat je ze elke keer stelt, ook als de opbrengst verleidelijk is en iedereen om je heen al in een nieuw protocol zit.

Het ligt niet aan je kennis. Je kunt elk auditrapport lezen en toch te veel in één protocol zetten, omdat het die week goed voelde. Wat je beschermt, is een maximum per protocol dat al vaststaat, exitregels die al op papier staan en iemand die met je meekijkt naar je verdeling voordat je geld verplaatst. Dan wordt DeFi geen gok op het juiste keurmerk, maar een onderdeel van je portfolio waarvan je precies weet wat het mag kosten.

Onze kijk

Veelgestelde vragen

Hoe veilig is DeFi?

DeFi is zo veilig als de zwakste schakel, de code, de beheerders, de prijsdata, de liquiditeit en je eigen wallet. Er is geen bank of depositogarantie, en transacties zijn onomkeerbaar. Beperk daarom per protocol hoeveel je inzet.

Betekent een hoge TVL dat een protocol veilig is?

Nee. TVL laat zien hoeveel geld er in een protocol staat, niet hoe goed de code of het beheer is. Een grote pot trekt ook aanvallers aan, en TVL kan snel vertrekken als beloningen stoppen.

Wat is een timelock in DeFi?

Een timelock is een wachttijd tussen het aankondigen en het uitvoeren van een wijziging aan een protocol. Daardoor zie je aanpassingen aankomen en heb je tijd om je geld terug te halen voordat ze ingaan.

Kun je je geld terugkrijgen na een DeFi-hack?

Meestal niet. Transacties op de blockchain zijn onomkeerbaar en er is geen instantie die garant staat. Soms wordt een deel teruggehaald, maar daar kun je geen plan op bouwen.

Is staken in DeFi hetzelfde als sparen?

Nee. Er is geen depositogarantie, de waarde van je inleg beweegt met de markt mee en je geld kan vastzitten. Zie het als een belegging met risico, niet als een spaarrekening.

Eén mail per week over traden

Wat er die week in de markt gebeurde en wat ik eruit meenam. Geen aanbiedingen, en afmelden kan met één klik onderaan elke mail.

Aanmelden

Bedrijf

Je krijgt eerst een mail om te bevestigen. Zonder die klik komt je adres niet op de lijst.