CertiK-expert: hackers winnen voorlopig de wapenwedloop

​De crypto-industrie blijft miljarden dollars verliezen door aanvallen van hackers. Sommige van de grootste bedreigingen komen echter niet voort uit kwetsbaarheden in de blockchaintechnologie zelf, maar uit zwakke plekken in de systemen en bij de mensen eromheen. In een interview met Traders Union legde Natalie Newson, Senior Blockchain Investigator bij CertiK, uit waarom hackers beveiligingsprofessionals voor blijven, hoe veilig crypto wallets werkelijk zijn en wat gebruikers kunnen doen om hun geld te beschermen.

Hackers veranderen hun tactieken

In de eerste helft van 2026 verloor de crypto-industrie volgens het Hack3D-rapport van CertiK ongeveer $1,31 miljard bij 344 beveiligingsincidenten. Op het eerste gezicht lijkt de situatie te zijn verbeterd ten opzichte van vorig jaar, maar Natalie Newson is van mening dat deze cijfers een misleidend beeld geven.

De schijnbare verbetering is grotendeels toe te schrijven aan de Bybit-hack van $1,45 miljard in de eerste helft van 2025. Als dat ene incident buiten beschouwing wordt gelaten, namen de verliezen in de sector op jaarbasis juist met ongeveer 28% toe.

“De onderliggende situatie is dus niet verbeterd en in sommige opzichten zelfs verslechterd. Het grootste deel van die schade kwam niet door briljante codekraken, maar door gecompromitteerde wallets en mensen die via social engineering werden gemanipuleerd.”

Kwetsbaarheden in code blijven op basis van het aantal incidenten de belangrijkste oorzaak van aanvallen. In de eerste zes maanden van 2026 registreerde CertiK 204 van dergelijke incidenten, die resulteerden in verliezen van ongeveer $152 miljoen. Wallet-compromitteringen bleken echter het meest verwoestend: slechts 33 incidenten veroorzaakten meer dan $444 miljoen aan verliezen.

Phishingaanvallen waren goed voor nog eens $366 miljoen aan verliezen. Hoewel het aantal phishingincidenten met meer dan de helft daalde ten opzichte van het voorgaande jaar, namen de financiële verliezen slechts met 11% af.

“Aanvallers stappen over van grootschalige campagnes naar een handvol zeer gerichte social-engineeringaanvallen, en slechts vier incidenten waren goed voor ongeveer 85% van alle phishingverliezen.”

De grootste kwetsbaarheid bevindt zich buiten de blockchain

Hackers richten zich doorgaans op ecosystemen waar grote hoeveelheden kapitaal zijn geconcentreerd. In de eerste helft van 2026 registreerde Ethereum het hoogste aantal incidenten: 153 aanvallen resulteerden in ongeveer $523 miljoen aan verliezen. Solana kreeg aanzienlijk minder aanvallen te verwerken, maar de verliezen liepen toch op tot $315 miljoen.

Een aanzienlijk deel van de schade kwam voort uit slechts twee hacks. In april stalen aanvallers $291 miljoen van Kelp DAO en $285 miljoen van Drift Protocol. Samen waren deze incidenten goed voor bijna 44% van de totale verliezen in de crypto-industrie gedurende de periode van zes maanden.

“De grootste zwakte zit niet echt in de blockchain zelf. Het gaat om de off-chainlaag waarvan alles afhankelijk is: sleutelbeheer, ondertekeningsprocessen, front-ends en infrastructuur zoals RPC-providers.”

Deze off-chainzwakke plekken helpen verklaren waarom zelfs projecten die onafhankelijke beveiligingsaudits hebben ondergaan nog steeds het slachtoffer kunnen worden van hackers.

“Een audit is een momentopname van specifieke code op een specifiek moment, geen permanente goedkeuring.”

Newson wijst ook op een toenemende trend waarbij aanvallers zich richten op oudere smart contracts die al meer dan een jaar actief zijn. Hun kwetsbaarheden zijn mogelijk tijdens eerdere beoordelingen onopgemerkt gebleven. Daarom raadt CertiK aan audits aan te vullen met continue monitoring, bug bounty-programma's en aanvullende beveiligingsbeoordelingen na codewijzigingen.

AI geeft hackers tijdelijk een voorsprong

Kunstmatige intelligentie verandert de strijd tussen cybercriminelen en bedrijven die de crypto-industrie beschermen. Hackers kunnen nu overtuigende deepfakes maken, phishingberichten in meerdere talen genereren en frauduleuze activiteiten automatiseren.

AI helpt aanvallers ook om kwetsbaarheden in code sneller te identificeren, waardoor minder technische expertise nodig is om geavanceerde aanvallen uit te voeren. Cybersecuritybedrijven gebruiken dezelfde technologie ondertussen om code op grote schaal te scannen, verdachte transacties te detecteren en complexe witwasconstructies met cryptocurrency te traceren.

“Beide partijen profiteren ervan en momenteel is het echt een wapenwedloop.”

Toch opereren de twee partijen onder zeer verschillende beperkingen. In tegenstelling tot criminelen moeten cybersecuritybedrijven voldoen aan wettelijke vereisten en ervoor zorgen dat hun tools betrouwbare resultaten opleveren.

“Op korte termijn denk ik dat aanvallers de voorsprong hebben, omdat ze nieuwe tools gebruiken zonder beperkingen op het gebied van compliance of nauwkeurigheid.”

De balans kan op de langere termijn verschuiven. Newson denkt dat beveiligingsprofessionals uiteindelijk een voordeel kunnen behalen dankzij hun toegang tot grote hoeveelheden data en hun vermogen om hun verdediging op te schalen. Daarvoor zal de crypto-industrie echter actiever in deze technologieën moeten investeren.

Hackers verschuiven van digitale aanvallen naar fysiek geweld

Criminelen richten zich steeds vaker rechtstreeks op houders van cryptocurrency en gebruiken fysiek geweld en intimidatie om toegang tot hun tegoeden te krijgen. Dergelijke aanvallen kunnen bestaan uit ontvoeringen, huisinvallen en afpersing. Tot de slachtoffers behoren oprichters van cryptoprojecten, bedrijfsbestuurders, vermogende beleggers en zelfs hun familieleden.

Deze misdrijven staan bekend als wrench attacks en omvatten fysieke dwang om slachtoffers ertoe te bewegen hun cryptocurrency af te staan. De toename ervan wordt gedreven door onmiddellijke en onomkeerbare cryptocurrencytransacties, lekken van persoonsgegevens en de publieke activiteit van beleggers zelf.

“Er zit ook een ironie in: naarmate de digitale beveiliging verbetert, wordt de mens de gemakkelijkste toegangspoort.”

Newson adviseert mensen met aanzienlijke cryptocurrencytegoeden om geen informatie over hun vermogen publiekelijk bekend te maken en beveiligingsmechanismen te gebruiken die voorkomen dat één persoon zelfstandig alle tegoeden kan overmaken.

Daaronder vallen multisignature wallets en transacties met een tijdslot. Dergelijke maatregelen kunnen diefstal zelfs onder fysieke dwang bemoeilijken, omdat criminelen niet eenvoudig toegang kunnen krijgen tot één wallet of de eigenaar ervan onmiddellijk tot een overboeking kunnen dwingen.

Kunnen cold wallets nog steeds worden vertrouwd?

Fysieke bedreigingen roepen ook vragen op over de manier waarop cryptocurrency moet worden bewaard. Zelfs apparaten die niet met het internet verbonden blijven, zijn afhankelijk van de betrouwbaarheid van hun firmware, toeleveringsketens en het handelen van hun eigenaars.

Newson gelooft echter niet dat deze risico’s hardware wallets overbodig maken.

“Cold storage is nog steeds de sterkste optie waarover de meeste mensen beschikken.”

De expert raadt aan apparaten rechtstreeks bij fabrikanten te kopen, firmware regelmatig te controleren en bij te werken, en seed phrases veilig te bewaren.

Voor aanzienlijke tegoeden adviseert ze ook multisignature-oplossingen te gebruiken, zodat de beveiliging van activa niet afhankelijk is van één apparaat of fabrikant. Het offline bewaren van private keys biedt nog steeds aanzienlijke bescherming tegen onlineaanvallen.

Kan Web3 ooit veilig worden?

Van de $1,31 miljard die in de eerste helft van 2026 verloren ging, werd volgens CertiK slechts ongeveer $115 miljoen bevroren of teruggevorderd. De resterende tegoeden waren tijdens de rapportageperiode niet bevroren of teruggevorderd.

Het gemiddelde verlies per incident bedroeg ongeveer $3,8 miljoen, maar de mediaan lag aanzienlijk lager, op circa $139.000. Dit wijst op een groot aantal kleinere aanvallen die minder bekende projecten en hun gebruikers treffen.

Newson gelooft dat de crypto-industrie de beveiliging aanzienlijk kan verbeteren, maar daarvoor is een andere benadering van productontwikkeling nodig.

“Niemand denkt aan encryptie wanneer die onlinebankieren gebruikt, en dat is de standaard die Web3 moet bereiken.”

Volgens haar moeten crypto wallets duidelijk uitleggen wat gebruikers ondertekenen en hen waarschuwen voordat ze met mogelijk kwaadaardige diensten communiceren. Betere tools om na beveiligingsincidenten weer toegang tot accounts en tegoeden te krijgen, zijn eveneens van groot belang.

Gebruikers zouden geen diepgaande kennis van blockchaintechnologie nodig moeten hebben om hun activa veilig te beheren.

“Het risico wordt nooit nul, net zomin als in de traditionele financiële sector, maar de ontwikkeling gaat de goede kant op.”

Uiteindelijk zal de verdere ontwikkeling van Web3 niet alleen afhangen van verbeteringen aan blockchains en smart contracts, maar ook van de mate waarin de sector gewone gebruikers kan beschermen tegen fouten, fraude en nieuwe aanvalsvormen.