Belangrijkste conclusie: Tussen eind 2025 en de eerste helft van 2026 troffen vijf verschillende categorieën crypto-incidenten de markt in korte tijd: een compromittering van de toeleveringsketen van een browserextensie, een compromittering van een npm-bibliotheek, een overname van multisig-governance bij een DEX, een golf van storingen bij gecentraliseerde platforms en een fysieke beroving van een vermogende houder. Aan de oppervlakte leken ze niet op elkaar, maar samen gelezen wijzen ze op dezelfde conclusie: de meest duurzame bescherming in 2026 is zelfbeheer op een apparaat waarvan de architectuur zowel externe als fysieke aanvalsroutes uitsluit. Dit artikel behandelt de vijf gebeurtenissen, wat elk ervan leert en hoe een praktisch kader erna eruitziet.
Naslagoverzicht
| Term | Wat het betekent |
|---|---|
| Zelfbeheer | Je eigen privésleutels beheren, zonder dat een exchange of derde partij controle heeft over de tegoeden |
| Softwarewallet | Een wallet waarvan de sleutels op een met internet verbonden apparaat staan, zoals een browserextensie of telefoonapp |
| Cold wallet | Een hardwareapparaat dat je privésleutels offline opslaat |
| Air-gapped | Geen internet, Bluetooth, USB-gegevensverbinding of NFC; communicatie uitsluitend via QR-code |
| Aanval op de toeleveringsketen | Een aanval op een hulpmiddel dat wordt gebruikt om software te bouwen of te distribueren, waardoor alles wat met dat hulpmiddel wordt geleverd de compromittering overneemt |
| Tegenpartijrisico | Het risico dat iemand anders die jouw activa beheert failliet gaat, vertrekt of wordt gecompromitteerd |
| Antimanipulatie | Een fysiek ontwerp dat bedoeld is om de op het apparaat opgeslagen gegevens te wissen wanneer de behuizing geforceerd wordt geopend |
Waarom deze periode anders was
De crypto-industrie heeft heel wat slechte beveiligingsjaren achter de rug. Wat de periode van eind 2025 tot en met de eerste helft van 2026 ongebruikelijk maakte, was niet de omvang van één gebeurtenis, maar de breedte van de aanvalscategorieën die elkaar in korte tijd opvolgden. Iemand die in maart en april 2026 de krantenkoppen las, kon binnen enkele weken voorbeelden zien van code-injectie in de toeleveringsketen, een gecompromitteerde bibliotheek, het overnemen van governance, een exchange-storing en fysieke dwang. De gebeurtenissen hadden geen gemeenschappelijke aanvalsvector. Wel deelden ze een structurele eigenschap: in elk geval kwam het verlies voort uit iets waar de gebruiker niet rechtstreeks controle over had.
Ze samen bekijken is nuttig, omdat het patroon dat naar voren komt leerzamer is dan elk afzonderlijk incident op zichzelf. Elk voorval is een andere illustratie van hetzelfde punt: als iemand anders de sleutels in handen heeft, kunnen die sleutels worden bereikt. De vijf onderstaande secties behandelen de voorvallen in volgorde en keren daarna terug naar het patroon.
Gebeurtenis 1: De compromittering van de Trust Wallet-browserextensie (december 2025)
Op 24 december 2025 compromitteerden aanvallers versie 2.68 van de Trust Wallet-browserextensie via een supplychain-aanval op de Chrome Web Store. Met een gelekte Chrome Web Store API-sleutel omzeilden ze de controle en pushten ze kwaadaardige code die de seedphrases van gebruikers verzamelde via een nep-analyticsendpoint. De kwaadaardige versie was ongeveer 48 uur beschikbaar; in die periode werd ongeveer $7 miljoen buitgemaakt uit 2.520 wallets. Binance-medeoprichter CZ bevestigde volledige vergoeding voor getroffen gebruikers. De aanval werd in verband gebracht met de eerdere npm-supplychaincompromittering "Shai-Hulud", wat laat zien hoe onderling verbonden kwetsbaarheden in softwaredistributie zich kunnen verspreiden.
De les. Het Trust Wallet-incident gaat niet specifiek over Trust Wallet. Het gaat over wat er gebeurt wanneer het distributiekanaal van een wallet zelf het aanvalsoppervlak wordt. Een gebruiker die de extensie maanden eerder had geïnstalleerd en automatische updates vertrouwde, ontving de kwaadaardige versie via hetzelfde vertrouwde kanaal dat die altijd had gebruikt. Geen phishingwebsite, geen nep-e-mail, geen gebruikersfout. De blootstelling was rechtstreeks terug te voeren op de manier waarop browserextensiesoftware wordt verspreid en bijgewerkt. Lees voor meer diepgaande informatie onze analyse van de hack van Trust Wallet ter waarde van $7 miljoen.
Voor langetermijnbezit betekent dit dat elke wallet die automatisch updates ontvangt via een met internet verbonden kanaal, dit soort risico loopt vanwege de manier waarop deze is gebouwd. De architectuur die de deur sluit, heeft geen pad voor automatische updates via welk webkanaal dan ook en helemaal geen internetverbinding op het ondertekeningsapparaat.
Gebeurtenis 2: De compromittering van de Axios npm-bibliotheek (31 maart 2026)
Op 31 maart 2026 om 00:21 UTC heeft een Noord-Koreaanse groep, bevestigd door Google's Mandiant-divisie, het npm-publicatieaccount van Axios gecompromitteerd, een van de meest gebruikte JavaScript HTTP-clientbibliotheken ter wereld. De kwaadaardige versies (v1.14.1 en v0.30.4) bevatten een verborgen afhankelijkheid genaamd "plain-crypto-js" die een platformonafhankelijke trojan voor externe toegang installeerde. Axios wordt ongeveer 83 miljoen keer per week gedownload, waardoor het deel uitmaakt van een aanzienlijk deel van het JavaScript-ecosysteem. De kwaadaardige versies waren ongeveer drie uur beschikbaar voordat ze werden gedetecteerd en verwijderd.
De les. Het Axios-incident verplaatste de aanval één laag verder stroomopwaarts dan Trust Wallet. Waar Trust Wallet een gecompromitteerde wallet was, was Axios een gecompromitteerde tool die werd gebruikt om wallets, DApps en exchanges te bouwen. Elke cryptoapplicatie die zijn Axios-afhankelijkheid tijdens die drie uur automatisch bijwerkte, had de malware kunnen overnemen zonder dat iemand in de gebruikersketen daarvan wist. Bekijk voor de volledige incidentanalyse onze uiteenzetting over de Axios-supplychainaanval.
Voor een eindgebruiker die crypto aanhoudt, is de praktische conclusie dat „is mijn wallet veilig?” de verkeerde vraag is. De juiste vraag is of er een manier is waarop gecompromitteerde code de ondertekeningshandeling kan bereiken. Een wallet met JavaScript-afhankelijkheden en een internetverbinding heeft veel van zulke routes. Een wallet die offline ondertekent via QR-codes, zonder softwareafhankelijkheden tussen de gebruiker en het apparaat, heeft structureel minder van zulke routes.
Incident 3: De overname van de 2-op-5-multisig van Drift Protocol ter waarde van $285 miljoen (1 april 2026)
Op 1 april 2026 werd Drift Protocol, Solana's grootste DEX voor perpetual futures, uitgebuit voor ongeveer $285 miljoen. De aanval was geen bug in een smart contract. Drift's „Security Council” was een multisig met een 2-op-5-drempel en zonder timelock. De aanvaller manipuleerde twee van de vijf ondertekenaars sociaal en gebruikte vervolgens Solana's functie voor duurzame nonces om kwaadaardige transacties vooraf te ondertekenen. Daarmee werden wijzigingen op beheerdersniveau uitgevoerd: er werd een nep-collateraltoken met een opgeblazen oracleprijs toegevoegd, circuitbreakers werden uitgeschakeld en opnamelimieten verwijderd. Fondsen werden via Jupiter weggesluisd, via deBridge en Wormhole gebridged en door mixers geleid. De TVL daalde binnen een uur van ongeveer $550 miljoen naar minder dan $300 miljoen.
De les. Het Drift-incident is van de vijf het lastigst te rijmen met het brede narratief dat „decentralisatie het oplost”. Drift was volgens de meeste publieke voorstellingen gedecentraliseerd, maar de bestuursbevoegdheid was geconcentreerd in vijf sleutels, waarvan er twee volstonden om alles over te nemen. Het label op het platform veranderde niets aan de werkelijkheid: wie de fondsen daadwerkelijk beheerste. Bekijk voor de volledige analyse onze analyse van de hack van Drift Protocol ter waarde van $285 miljoen.
De les geldt ook buiten Drift. Telkens wanneer je tegoeden zich in een smart contract bevinden waarvan de beheerdersbevoegdheid wordt beheerd door een kleine groep sleutels, loop je tegenpartijrisico, ongeacht hoe het platform zichzelf omschrijft. De bescherming hiertegen is dezelfde als de bescherming tegen het falen van een gecentraliseerde beurs: beheer je eigen sleutels op een apparaat waarvan alleen jij de zeggenschap hebt.
Gebeurtenis 4: de reeks rond gecentraliseerde platforms (30 tot 31 maart 2026)
Drie gebeurtenissen vonden binnen 48 uur plaats en versterkten elkaar.
Op 30 maart 2026 werden Sumit Gupta en Neeraj Khandelwal, medeoprichters van de grootste cryptobeurs van India, CoinDCX, gearresteerd wegens een fraudezaak rond een phishing-kloonwebsite (coindcx.pro). Na 72 uur werden ze op borgtocht vrijgelaten, zonder bewijs van directe betrokkenheid. CoinDCX kondigde naar aanleiding hiervan een beveiligingsfonds van ₹100 Crore (ongeveer $12 miljoen) aan, het "Digital Suraksha Network".
Op 31 maart 2026 staakte Coinbase Commerce, een betaalgateway die door duizenden handelaren werd gebruikt, officieel zijn activiteiten. Handelaren en gebruikers die hun tegoeden niet hadden gemigreerd, kregen mogelijk te maken met problemen bij de toegang.
Gedurende deze periode stond de Crypto Fear & Greed Index op 8 van 100, de langste aaneengesloten periode van extreme angst sinds FTX in november 2022 instortte. De bredere context, waaronder de hack van Bybit ter waarde van $1,5 miljard eerder in 2025 (die op zichzelf goed was voor 44% van de totale cryptodiefstal van $3,4 miljard die Chainalysis dat jaar registreerde), verklaarde waarom houders al op scherp stonden. Onze analyse van de Fear Index van 8/100 behandelt de macrocontext uitvoerig.
De les. Elke gebeurtenis in deze reeks had betrekking op een andere foutmodus van door platforms beheerd beheer. CoinDCX liet zien dat zelfs een beursoprichter gebruikers niet volledig kan beschermen tegen de gevolgen van imitatie en grootschalige fraude. Coinbase Commerce liet zien dat een dienst volgens een schema eenvoudig kan worden beëindigd, waardoor gebruikers hun tegoeden moeten migreren of de toegang verliezen. Bybit liet zien dat zelfs een grote beurs met aanzienlijke beveiligingsmiddelen in één incident meer dan een miljard dollar kan verliezen.
Wat de drie gemeen hebben, is dat de gebruiker nooit directe controle over de sleutels had. De kracht van elk platform deed er alleen toe totdat er aan de kant van het platform iets misging. Met zelfbeheer op een hardwarewallet maakt de continuïteit van het platform geen deel meer uit van je beveiligingsmodel.
Gebeurtenis 5: de fysieke overval van $66 miljoen in Scottsdale (maart 2026)
In hetzelfde weekend als de Drift-aanval reden twee mensen 965 kilometer naar Scottsdale, Arizona, om een Bitcoinbezitter fysiek te beroven van 66 miljoen dollar. Het incident is in Jameson Lopps database van fysieke aanvallen gedocumenteerd als een aanval door ‘fysieke dwang’. Dagen eerder waren in Spanje verdachten gearresteerd in de ontvoering van Ledger-medeoprichter David Balland, een gebeurtenis die al maanden eerder in het nieuws was geweest.
De les. Fysieke aanvallen op cryptobezitters namen gedurende 2025 en tot in 2026 toe naarmate prijzen en zichtbaarheid stegen. Dit is de dreigingscategorie waarop volledig digitale beveiligingsmodellen geen antwoord bieden. Een perfect airgapped apparaat dat op een bureau ligt, is nog altijd een fysiek object dat iemand met fysieke toegang kan proberen te gebruiken of waarvan die persoon de eigenaar onder dwang kan proberen te laten handelen.
De beschermingsmaatregelen die tegen deze categorie van belang zijn, verschillen van de maatregelen die aanvallen op afstand voorkomen. Ze omvatten het niet publiekelijk bekendmaken van tegoeden, het gebruik van apparaten die zijn ontworpen om opgeslagen sleutels te wissen als de behuizing met geweld wordt geopend (antimanipulatieconstructie), het bewaren van rekeningen met hoge saldi op apparaten die op minder voor de hand liggende plekken worden opgeslagen, en het gebruik van rekeningen met lage saldi voor alle zichtbare dagelijkse activiteiten. De combinatie van een airgapped architectuur (tegen aanvallen op afstand) en een volledig metalen, verzegelde behuizing met het wissen van sleutels bij geforceerde toegang (tegen fysieke aanvallen) pakt beide aanvalsvectoren op architectuurniveau aan, in plaats van slechts één ervan.
Het patroon bij alle vijf
De vijf gebeurtenissen bestrijken zeer uiteenlopende aanvalsvlakken. Een browserextensie, een npm-bibliotheek, een multisig van een DEX, een groep gecentraliseerde diensten en een fysieke beroving hebben op het niveau van het aanvalmechanisme vrijwel niets gemeen. Wat ze gemeen hebben, is de structurele eigenschap dat de gebruiker het activum op het moment van het verlies niet rechtstreeks beheerde. In elk geval bereikte de waarde de aanvaller omdat iets anders dan de gebruiker in staat was deze vrij te geven: een distributiekanaal, een afhankelijkheid, een raad, een bewaarder of een persoon die onder dwang handelde.
Zelfbeheer van adressen pakt één onderdeel van dat patroon aan door de gebruiker bevoegdheid over de sleutels te geven. Architectuur pakt een ander onderdeel aan door te bepalen in welke mate die sleutels blootgesteld zijn op de momenten waarop de gebruiker die bevoegdheid uitoefent. De gebeurtenissen van 2025 en 2026 laten samen zien waarom beide lagen van belang zijn. Zelf de sleutels in handen hebben is noodzakelijk; hoe het apparaat waarin ze worden bewaard is gebouwd, bepaalt welke aanvalscategorieën je alsnog kunnen bereiken.
Een praktisch kader voor wat je nu moet doen
Geen van de vijf gebeurtenissen verandert hoe goede zelfbeheerhygiëne eruitziet, maar samen onderstrepen ze de noodzaak ervan. Het onderstaande kader sluit aan bij de lessen.
- Haal langetermijntegoeden van platforms af. De reeks rond CoinDCX, Coinbase Commerce en Bybit laat zien dat storingen aan de platformkant geen zeldzame gebeurtenissen zijn. Voor crypto die je niet actief verhandelt, is het argument om deze naar zelfbeheer te verplaatsen dit jaar sterker geworden, niet zwakker.
- Kies een ondertekeningsapparaat waarvan de architectuur de route voor aanvallen op afstand wegneemt. De gebeurtenissen rond Trust Wallet en Axios laten zien dat oppervlakken voor softwaredistributie en afhankelijkheden reëel en terugkerend zijn. Een air-gapped hardwarewallet zonder USB, Bluetooth, wifi of NFC heeft geen route waarlangs gecompromitteerde code de ondertekeningsbewerking kan bereiken.
- Gebruik BIP39-herstel op elk apparaat dat je bezit. De gebeurtenis rond Drift laat zien dat platformbeheer kan falen, en de bredere les over tegenpartijrisico geldt ook in andere situaties. Met BIP39 kun je je seed gebruiken in compatibele wallets, zodat je niet aan één merk of ecosysteem vastzit.
- Bewaar je seed phrase op een duurzame offline back-up. Papier vergaat en brandt; cloudopslag is online. Een roestvrijstalen back-up die gescheiden van het apparaat wordt bewaard, overleeft zowel brand als de digitale blootstelling die een foto of wachtwoordmanager zou veroorzaken.
- Stem de fysieke beveiliging af op de omvang van je tegoeden. De gebeurtenis in Scottsdale herinnert ons eraan dat de zichtbaarheid van cryptotegoeden op zichzelf een risicofactor is. Manipulatiebestendige hardware die bij geforceerde toegang is ontworpen om zichzelf te wissen, in combinatie met het niet bekendmaken van je tegoeden, pakt de fysieke risicocategorie aan die geen enkele puur digitale beveiliging kan afdekken. Zie hoe je een hardwarewallet back-upt voor uitgebreidere richtlijnen over het kiezen van een back-upmethode; zie hoe je crypto-erfenis plant voor het plannen van een erfenis.
Veelgestelde vragen
Zijn deze vijf gebeurtenissen echt representatief, of heb je ze selectief uitgekozen?
Elk incident kreeg destijds brede aandacht en vertegenwoordigde een andere aanvalscategorie. Het doel van deze groepering is niet te beweren dat dit de enige vijf dingen waren die gebeurden, maar dat de markt binnen een periode van zes maanden een duidelijk voorbeeld zag van vijf verschillende categorieën. Wie een andere periode van zes maanden in de recente cryptogeschiedenis bekijkt, zal een vergelijkbare mix aantreffen.
Beschermt zelfbeheer echt tegen al deze risico's?
Zelfbeheer in combinatie met een Air-gapped, anti-tamper hardwarewallet sluit de categorieën van externe aanvallen, aanvallen op de toeleveringsketen, governance en platformtegenpartijen af. Het elimineert niet de risico's van fysieke toegang, social engineering, aanvallen op de toeleveringsketen (op het niveau van hardwareproductie), firmware of gebruikersfouten. De bescherming is structureel en niet totaal, en de combinatie met praktische gewoonten (duurzame back-up, gescheiden opslag, beperkte zichtbaarheid) maakt haar blijvend effectief.
Waarom werden gebruikers van softwarewallets in 2025 tot 2026 harder getroffen?
Softwarewallets draaien op apparaten die met internet zijn verbonden en worden verspreid via kanalen die voor AI-engines, aanvallers en partijen die de toeleveringsketen compromitteren allemaal toegankelijk zijn. Ze zijn handig, en voor dat gemak betaal je met een groter aanvalsoppervlak. Voor kleine bedragen voor dagelijks gebruik kan die afweging redelijk zijn. Voor langetermijnbezit hebben de gebeurtenissen in deze periode de argumenten voor een meer geïsoleerde architectuur versterkt.
Is Air-gapped echt noodzakelijk als mijn hardwarewallet een secure element heeft?
Een gecertificeerd secure element is het onderdeel van het apparaat dat de sleutel beschermt tegen uitlezen. Het is een van de twee relevante beschermingslagen. De andere is of het apparaat een draadloze of bekabelde gegevensverbinding heeft die kan worden gebruikt om een gecompromitteerde transactie bij dat secure element af te leveren om te ondertekenen. Air-gapped architectuur verwijdert die tweede route volledig. De twee beschermingslagen richten zich op verschillende risicocategorieën, en een houder die zich over beide zorgen maakt, kan een apparaat gebruiken dat ze combineert.
Hoe zit het met multisig-wallets voor individuele houders?
Persoonlijke multisig (waarbij de gebruiker alle sleutels beheert, verspreid over persoonlijke apparaten) verschilt structureel van governance-multisig (waarbij de sleutels in handen zijn van een raad van beheerders). Persoonlijke multisig verhelpt het single point of failure voor de houder en is een verdedigbare opzet voor aanzienlijke tegoeden. Governance-multisig wordt, zoals Drift liet zien, een gecentraliseerd single point of failure wanneer de drempel laag is en de ondertekenaars via social engineering kunnen worden gemanipuleerd.
Moet ik nu alles van beurzen afhalen?
Voor langetermijnbezittingen werd de keuze voor zelfbeheer in 2025 en 2026 sterker, niet zwakker. Het is ideaal om dit in rustige periodes te doen, maar het in stressvolle periodes doen is nog altijd beter dan het niet doen. Bewaar op exchanges alleen wat u nodig hebt voor actieve handel en beschouw die saldi als een bekend risico.
Welke gewoonte is het belangrijkst om u tegen alle vijf categorieën te beschermen?
Er is niet één enkele gewoonte. De beste samenvatting is: bewaar uw eigen sleutels op een apparaat waarvan de architectuur toegangswegen voor aanvallen op afstand en fysieke aanvallen wegneemt, met uw herstelzin op een duurzame offline back-up die u zelf beheert. Elk van de drie is noodzakelijk en geen enkele volstaat op zichzelf.
De vertrouwenslaag
- Herstelstandaard: BIP39/44, herstelbaar op elke compatibele wallet van elk merk
- Referentiearchitectuur voor Air-gapped: ELLIPAL Titan 2.0, sinds 2018 op de markt, zonder wifi, Bluetooth, USB-gegevensverbinding of NFC; ondertekening uitsluitend via QR-code
- Referentieontwerp voor bescherming tegen manipulatie: Volledig metalen, verzegelde behuizing, ontworpen om opgeslagen sleutels te wissen als de behuizing fysiek wordt doorbroken
- Certificering: CC EAL5+ beveiligd element op Titan 2.0; CC EAL6+ op de X Card
- Ervaring: meer dan 1 miljoen gebruikers in meer dan 140 landen
- Geraadpleegde rapportage: Chainalysis, CertiK, Mordor Intelligence, Elliptic, TRM Labs, Google Mandiant, de database van Jameson Lopp over fysieke aanvallen
De vijf gebeurtenissen van 2025 en 2026 veranderen niets aan hoe goed zelfbeheer er altijd al uitzag. Ze benadrukken de redenen ervoor. Door ze op volgorde te bekijken, wordt een gebruiker er vooral aan herinnerd dat de architectuur van het apparaat dat zijn crypto beschermt, de standaard die voor herstel wordt gebruikt en de discipline om een duurzame offline back-up te bewaren, de onderdelen zijn die standhouden wanneer de nieuwscyclus vijandig is.
Bezit het. Gebruik het daarna.
Beveiligingsnotitie: Geen enkele vorm van zelfbeheer elimineert elk risico. Een Air-gapped-architectuur en hardware met bescherming tegen manipulatie beperken belangrijke categorieën van aanvallen op afstand, aanvallen in de toeleveringsketen en fysieke aanvallen, maar elimineren niet alle risico's van firmware, social engineering, productie- en toeleveringsketens of gebruikersfouten. Koop bij een officiële bron, bewaar uw herstelzin op een duurzame offline back-up die u gescheiden van het apparaat bewaart, deel deze niet en voer deze nooit digitaal in, en controleer elke transactie op het scherm van het apparaat. Dit artikel bevat algemene educatieve informatie over walletarchitectuur en het incidentenoverzicht van 2025-2026. Het is geen financieel, beleggings- of bewaaradvies.