Cryptohacks breken record terwijl aanvallers mens en AI raken
Meer hacks, minder geruststelling. De cryptosector kreeg in de eerste helft van 2026 te maken met een recordaantal aanvallen, maar de grootste zwakte zat niet alleen in code.
Aanvallers mikken steeds vaker op mensen, keys en systemen die transacties mogen ondertekenen. Een gecontroleerd smart contract helpt weinig wanneer een medewerker wordt misleid of een AI-agent de verkeerde opdracht uitvoert.
Volgens Blockaid werden in de eerste zes maanden van 2026 meer exploitincidenten bevestigd dan in heel 2025. De schade liep op tot meer dan $1 miljard.
Record zit vooral in het aantal hacks
Het record gaat vooral over het aantal succesvolle aanvallen. Niet over het hoogste schadebedrag ooit.
TRM Labs telde 207 hacks in H1 2026, goed voor $972 miljoen aan gestolen waarde. Dat was minder dan in H1 2025, toen de Bybit-aanval alleen al ongeveer $1,5 miljard opleverde.
De trend is dus dubbel. Er zijn meer incidenten, maar een klein aantal grote aanvallen bepaalt nog steeds de schade.
Volgens TRM waren operationele en key-gerelateerde aanvallen goed voor ongeveer 76 procent van het gestolen bedrag. Ze vormden slechts rond 15 procent van de incidenten.
Smart-contractexploits kwamen vaker voor. Maar ze leverden gemiddeld veel minder op.
Hackers zoeken de ondertekenaar
De grootste schade ontstaat steeds vaker rond toegang.
Bij Drift Protocol verdween volgens Blockaid ongeveer $285 miljoen. Het bedrijf schreef in zijn analyse van de Drift-aanval dat het geen gewone smart-contractfout was, maar een meerweekse aanval op governance, mensen en ondertekening.
TRM koppelde Drift en KelpDAO aan Noord-Korea-gelieerde aanvallers. Samen waren die twee incidenten goed voor ongeveer $577 miljoen.
Dat patroon is logisch. Een DeFi-protocol kan miljoenen aan audits betalen, maar ergens blijft vaak een beperkte groep mensen over die upgrades, noodacties of grote transacties kan goedkeuren.
Wie die mensen bereikt, hoeft de code soms niet meer te breken.
Social engineering via LinkedIn, valse profielen en lange gesprekken past precies in dat model. De aanvaller zoekt niet de bug in het contract, maar de twijfel in de ondertekenaar.
AI maakt phishing goedkoper en geloofwaardiger
AI verlaagt de kosten van een goede aanval.
Een hacker kan LinkedIn-profielen, bedrijfswebsites en posts gebruiken om berichten te maken die passen bij iemands functie, toon en dagelijkse werk. De oude phishingmail met taalfouten is niet langer de standaard.
Een aanval kan beginnen met een nette e-mail. Daarna volgt een chatbericht. Daarna misschien een vervalst telefoongesprek of een synthetische stem.
Ook AI-agents worden zelf een nieuw aanvalspunt. Dat zijn programma’s die niet alleen tekst geven, maar websites bezoeken, data verwerken en soms transacties voorbereiden.
MetaMask verwees in zijn beveiligingsoverzicht van mei 2026 naar een prompt-injectionaanval waarbij een AI-agent werd misleid en $204.000 uit een Bankr-wallet verdween.
Bij prompt injection verstopt een aanvaller instructies in informatie die de agent leest. De agent kan daarna zijn oorspronkelijke opdracht negeren.
Dat risico wordt gevaarlijk wanneer de agent toegang heeft tot wallets, handelsaccounts of signingsoftware.
Een AI-agent die marktdata samenvat is een hulpmiddel. Een AI-agent die mag ondertekenen is een financiële ingang.
Fysieke dwang omzeilt digitale beveiliging
Naast digitale aanvallen groeit ook het geweld rond crypto.
Bij een wrench attack gebruikt een crimineel dreiging, ontvoering of geweld om iemand een wallet te laten openen of crypto over te maken.
CertiK telde in H1 2026 wereldwijd 52 geverifieerde wrench attacks. Dat was 33,3 procent meer dan een jaar eerder.
De gemelde blootstelling liep op tot $124,1 miljoen. CertiK noemt de cijfers niet volledig, omdat veel zaken nooit openbaar worden.
Europa viel daarbij hard op. CertiK registreerde 39 van de 52 incidenten in Europa, met Frankrijk als zwaartepunt.
Dit raakt self-custody direct. Een hardwarewallet beschermt tegen malware, niet tegen iemand die naast je staat.
Een seedphrase in een kluis helpt beperkt wanneer criminelen weten wie je bent, waar je woont en wat je bezit.
Beveiliging moet verder dan audits
Voor cryptoprojecten is de les hard. Een jaarlijkse audit is geen volledig beveiligingsplan.
Keys, multisigs, signingapparaten en noodprocedures moeten dezelfde aandacht krijgen als code.
Grote transfers vragen om meerdere onafhankelijke ondertekenaars, limieten, opnamevertragingen en vooraf goedgekeurde adressen.
Afwijkende transacties moeten via een tweede kanaal worden gecontroleerd. Een videogesprek of bekende stem is niet meer genoeg.
AI-agents mogen geen onbeperkte toegang krijgen. Veiliger is een ontwerp met vaste limieten, een beperkte lijst contracten en menselijke goedkeuring bij afwijkende opdrachten.
Dat klinkt traag. Maar traagheid is soms precies de beveiliging.
Particuliere beleggers moeten minder zichtbaar worden
Voor gewone beleggers begint beveiliging bij minder informatie delen.
Wie publiek pronkt met winsten, wallets, portfolio’s of woonomgeving maakt zichzelf vindbaar. Een digitaal risico kan dan fysiek worden.
Ook is scheiding belangrijk. Handelsgeld hoort niet in dezelfde wallet als langetermijnbezit.
Grote bedragen verdienen koude opslag, gescheiden apparaten en geen koppeling met sociale profielen.
Gebruik verschillende wallets voor verschillende doelen. Controleer adressen handmatig. Deel nooit seedphrases, ook niet met supportmedewerkers of zogenoemde herstelteams.
Voor Bitcoin en andere grote posities geldt dezelfde regel: niemand hoeft online te weten hoeveel je bezit.
De aanval verschuift naar het snijpunt
De nieuwe hackcijfers tonen geen simpele codecrisis. Ze tonen een bredere verschuiving.
Aanvallers zoeken het punt waar blockchain, automatisering en menselijk gedrag samenkomen.
Daar liggen de keys. Daar zitten de machtigingen. Daar worden uitzonderingen goedgekeurd.
De cryptosector kan betere contracten schrijven en toch blijven verliezen wanneer de ondertekenaar zwak blijft.
De volgende grote hack hoeft geen briljante codeaanval te zijn. Een geloofwaardig bericht, een misleide AI-agent of een bedreigde houder kan genoeg zijn.
Stop met te veel betalen voor je crypto. Bij de Amsterdamse exchange Finst handel je tegen de laagste tarieven van Nederland, zonder verborgen kosten.
👀 Bekijk Finst nu ›Let op: Beleggen in crypto brengt risico’s met zich mee. Handel alleen met geld dat u kunt missen.
Ga verder met lezen
Dit vind je misschien ook leuk
Laat mensen jouw mening weten
Lees ook
Populair Nieuws
Loading
