Belangrijkste conclusie: Tussen eind 2025 en de eerste helft van 2026 troffen vijf verschillende categorieën crypto-incidenten de markt kort na elkaar: een compromittering van de toeleveringsketen van een browserextensie, een compromittering van een npm-bibliotheek, het overnemen van governance bij een DEX met multisig, een golf van storingen bij gecentraliseerde platforms en een fysieke beroving van een vermogende houder. Aan de oppervlakte leken ze nergens op elkaar, maar samen gelezen wijzen ze op dezelfde conclusie: de meest duurzame bescherming in 2026 is zelfbeheer op een apparaat waarvan de architectuur zowel externe als fysieke aanvalspaden uitsluit. Dit artikel behandelt de vijf gebeurtenissen, wat elk ervan leert en hoe een praktisch kader er daarna uitziet.
Snel overzicht
| Term | Wat het betekent |
|---|---|
| Zelfbeheer | Je eigen privésleutels beheren, zonder dat een beurs of derde partij controle heeft over de tegoeden |
| Softwarewallet | Een wallet waarvan de sleutels op een met internet verbonden apparaat staan, zoals een browserextensie of telefoonapp |
| Cold wallet | Een hardwareapparaat dat je privésleutels offline opslaat |
| Air-gapped | Geen internet, Bluetooth, USB-gegevensverbinding of NFC; communicatie uitsluitend via QR-code |
| Aanval op de toeleveringsketen | Een aanval op een hulpmiddel dat wordt gebruikt om software te bouwen of te verspreiden, waardoor alles wat met dat hulpmiddel wordt uitgebracht de compromittering overneemt |
| Tegenpartijrisico | Het risico dat iemand anders die je activa beheert failliet gaat, ermee ophoudt of wordt gecompromitteerd |
| Antimanipulatie | Een fysiek ontwerp dat bedoeld is om de opgeslagen gegevens op het apparaat te wissen wanneer de behuizing geforceerd wordt geopend |
Waarom deze periode anders was
De cryptosector heeft heel wat slechte beveiligingsjaren achter de rug. Wat de periode van eind 2025 tot en met de eerste helft van 2026 uitzonderlijk maakte, was niet de omvang van één gebeurtenis, maar de breedte van de aanvalscategorieën die elkaar in korte tijd opvolgden. Een gebruiker die in maart en april 2026 de krantenkoppen las, kon binnen enkele weken voorbeelden zijn tegengekomen van code-injectie in de toeleveringsketen, een gecompromitteerde bibliotheek, het kapen van governance, een falend handelsplatform en fysieke dwang. De gebeurtenissen deelden geen aanvalsvector. Wel deelden ze een structurele eigenschap: in elk geval kwam het verlies voort uit iets waar de gebruiker niet rechtstreeks controle over had.
Ze samen beoordelen is nuttig, omdat het patroon dat naar voren komt leerzamer is dan elk afzonderlijk incident. Elk voorval laat op een andere manier hetzelfde punt zien: als iemand anders de sleutels in handen heeft, kunnen die sleutels worden bereikt. De vijf onderstaande secties behandelen de voorvallen in volgorde en keren daarna terug naar het patroon.
Gebeurtenis 1: Het compromitteren van de Trust Wallet-browserextensie (december 2025)
Op 24 december 2025 compromitteerden aanvallers versie 2.68 van de Trust Wallet-browserextensie via een supplychainaanval op de Chrome Web Store. Met een gelekte API-sleutel van de Chrome Web Store omzeilden ze de controle en pushten ze kwaadaardige code die de seedphrases van gebruikers verzamelde via een nep-analyticsendpoint. De kwaadaardige versie was ongeveer 48 uur actief; in die periode werd ongeveer $7 miljoen buitgemaakt uit 2.520 wallets. Binance-medeoprichter CZ bevestigde volledige terugbetaling aan getroffen gebruikers. De aanval werd in verband gebracht met de eerdere npm-supplychaincompromittering "Shai-Hulud", wat laat zien hoe onderling verbonden kwetsbaarheden in softwaredistributie kunnen escaleren.
De les. De Trust Wallet-gebeurtenis gaat niet specifiek over Trust Wallet. Het gaat over wat er gebeurt wanneer het distributiekanaal van een wallet zelf het aanvalsoppervlak wordt. Een gebruiker die de extensie maanden eerder had geïnstalleerd en automatische updates vertrouwde, ontving de kwaadaardige versie via hetzelfde vertrouwde kanaal dat hij altijd had gebruikt. Geen phishingwebsite, geen valse e-mail, geen gebruikersfout. De blootstelling was rechtstreeks terug te voeren op de manier waarop browserextensiesoftware wordt gedistribueerd en bijgewerkt. Lees voor meer diepgaande informatie onze analyse van de Trust Wallet-hack van $7 miljoen.
Voor langetermijnbezittingen betekent dit dat elke wallet die automatisch updates uitvoert via een met internet verbonden kanaal, dit soort risico met zich meebrengt door de manier waarop deze is gebouwd. De architectuur die de deur gesloten houdt, is er een zonder automatisch updatepad via een webkanaal en zonder enige internetverbinding op het ondertekeningsapparaat.
Gebeurtenis 2: Het compromitteren van de Axios-npm-bibliotheek (31 maart 2026)
Op 31 maart 2026 om 00:21 UTC heeft een Noord-Koreaanse groep, bevestigd door Googles Mandiant-divisie, het npm-publicatieaccount van Axios gecompromitteerd, een van de meest gebruikte JavaScript HTTP-clientbibliotheken ter wereld. De kwaadaardige versies (v1.14.1 en v0.30.4) bevatten een verborgen afhankelijkheid met de naam "plain-crypto-js" die een platformonafhankelijke trojan voor externe toegang installeerde. Axios wordt ongeveer 83 miljoen keer per week gedownload, waardoor het deel uitmaakt van een aanzienlijk deel van het JavaScript-ecosysteem. De kwaadaardige versies waren ongeveer drie uur actief voordat ze werden gedetecteerd en verwijderd.
De les. Het Axios-incident verplaatste de aanval nog een laag verder stroomopwaarts dan bij Trust Wallet. Waar Trust Wallet een gecompromitteerde wallet was, was Axios een gecompromitteerde tool die werd gebruikt om wallets, DApps en exchanges te bouwen. Elke cryptoapplicatie die zijn Axios-afhankelijkheid gedurende die drie uur automatisch bijwerkte, had de malware kunnen overnemen zonder dat iemand in de gebruikersketen daarvan op de hoogte was. Bekijk voor de volledige incidentanalyse onze uiteenzetting over de Axios-supplychainaanval.
Voor een eindgebruiker die crypto aanhoudt, is de praktische conclusie dat „is mijn wallet veilig?” de verkeerde vraag is. De juiste vraag is of de wallet een pad heeft waarlangs gecompromitteerde code de ondertekeningsactie kan bereiken. Een wallet met JavaScript-afhankelijkheden en een internetverbinding heeft veel van zulke paden. Een wallet die offline via QR-codes ondertekent, zonder softwareafhankelijkheden tussen de gebruiker en het apparaat, heeft er structureel minder.
Evenement 3: de overname van de 2-op-5-multisig van Drift Protocol ter waarde van $285 miljoen (1 april 2026)
Op 1 april 2026 werd Drift Protocol, de grootste DEX voor perpetual futures van Solana, uitgebuit voor ongeveer $285 miljoen. De aanval was geen bug in een smart contract. Drift's „Security Council” was een multisig van 2 van 5, zonder timelock. De aanvaller manipuleerde twee van de vijf ondertekenaars via social engineering en gebruikte vervolgens Solana's functie voor duurzame nonces om kwaadaardige transacties vooraf te ondertekenen. Daarmee voerde hij wijzigingen op beheerdersniveau door: een nep-collateraltoken met een opgeblazen oracleprijs, uitgeschakelde circuitbreakers en verwijderde opnamelimieten. De fondsen werden via Jupiter weggesluisd, via deBridge en Wormhole gebridged en door mixers geleid. De TVL daalde binnen een uur van ongeveer $550 miljoen naar minder dan $300 miljoen.
De les. Het Drift-incident is voor het brede verhaal dat „decentralisatie het oplost” het ongemakkelijkste van de vijf. Drift was volgens de meeste publieke beschrijvingen gedecentraliseerd, maar de bestuursbevoegdheid was geconcentreerd in vijf sleutels, waarvan er twee voldoende waren om alles over te nemen. Het label op het platform veranderde niets aan de realiteit van wie de fondsen daadwerkelijk beheerde. Bekijk voor de volledige analyse onze analyse van de hack van Drift Protocol ter waarde van $285 miljoen.
De les geldt breder dan alleen voor Drift. Wanneer je activa zich in een smart contract bevinden waarvan de beheerdersbevoegdheid wordt beheerd door een kleine groep sleutels, loop je tegenpartijrisico, ongeacht hoe het platform zichzelf omschrijft. De bescherming hiertegen is dezelfde als tegen het falen van een gecentraliseerde exchange: bewaar je eigen sleutels op een apparaat waarvan alleen jij de zeggenschap hebt.
Gebeurtenis 4: De reeks gebeurtenissen rond gecentraliseerde platforms (30 tot en met 31 maart 2026)
Drie gebeurtenissen vonden binnen 48 uur plaats en versterkten elkaar.
Op 30 maart 2026 werden Sumit Gupta en Neeraj Khandelwal, medeoprichters van India's grootste crypto-exchange CoinDCX, gearresteerd in verband met een fraudezaak rond een phishing-klonesite (coindcx.pro). Na 72 uur werden ze op borgtocht vrijgelaten, zonder bewijs van directe betrokkenheid. CoinDCX kondigde naar aanleiding hiervan een beveiligingsfonds van ₹100 Crore (ongeveer $12 miljoen) aan, het "Digital Suraksha Network".
Op 31 maart 2026 staakte Coinbase Commerce, een betaalgateway die door duizenden handelaren werd gebruikt, officieel zijn activiteiten. Handelaren en gebruikers die hun geld niet hadden gemigreerd, kregen mogelijk te maken met problemen bij de toegang.
In diezelfde periode stond de Crypto Fear & Greed Index op 8 van de 100, de langste reeks van extreme angst sinds de ineenstorting van FTX in november 2022. De bredere context, waaronder de hack van Bybit ter waarde van $1,5 miljard eerder in 2025 (die alleen al goed was voor 44% van de totale cryptodiefstal van $3,4 miljard die Chainalysis voor dat jaar registreerde), verklaarde waarom houders al op scherp stonden. Onze analyse van Fear Index 8/100 behandelt deze macrocontext uitvoerig.
De les. Elke gebeurtenis in deze reeks had betrekking op een andere faalmodus van bewaring door platforms. CoinDCX liet zien dat zelfs de oprichter van een exchange gebruikers niet volledig kan afschermen tegen de gevolgen van imitatie en fraude op grote schaal. Coinbase Commerce liet zien dat een dienst simpelweg volgens een planning kan worden beëindigd, waardoor gebruikers moeten migreren of de toegang verliezen. Bybit liet zien dat zelfs een grote exchange met aanzienlijke beveiligingsmiddelen in één incident meer dan een miljard dollar kan verliezen.
Wat de drie gemeen hebben, is dat de gebruiker nooit directe controle over de sleutels had. De betrouwbaarheid van elk platform deed er alleen toe totdat er aan de kant van het platform iets misging. Bij zelfbeheer op een hardware wallet maakt de continuïteit van het platform geen deel meer uit van je beveiligingsmodel.
Gebeurtenis 5: De fysieke overval van $66 miljoen in Scottsdale (maart 2026)
In hetzelfde weekend als de aanval op Drift reden twee mensen 965 kilometer naar Scottsdale, Arizona, om een Bitcoinbezitter fysiek te beroven van $66 miljoen. Het incident is in de database van Jameson Lopp over fysieke aanvallen gedocumenteerd als een aanval door "fysieke dwang". Dagen eerder waren in Spanje verdachten gearresteerd in de ontvoering van Ledger-medeoprichter David Balland, een gebeurtenis die al maanden eerder in het nieuws was geweest.
De les. Fysieke aanvallen op cryptobezitters namen gedurende 2025 en tot in 2026 toe naarmate prijzen en zichtbaarheid stegen. Dit is de dreigingscategorie die volledig digitale beveiligingsmodellen niet aanpakken. Een perfect air-gapped apparaat dat op een bureau ligt, is nog altijd een fysiek object dat iemand met fysieke toegang kan proberen te gebruiken of waarvan die persoon de eigenaar kan dwingen het te gebruiken.
De beschermingsmaatregelen die relevant zijn tegen deze categorie verschillen van maatregelen die aanvalspaden op afstand afsluiten. Ze omvatten het niet openbaar maken van bezittingen, het gebruik van apparaten die opgeslagen sleutels wissen als de behuizing met geweld wordt geopend (antimanipulatieconstructie), het bewaren van accounts met hoge saldi op apparaten die op minder voor de hand liggende locaties zijn opgeborgen, en het gebruik van accounts met lage saldi voor zichtbare dagelijkse activiteiten. De combinatie van een air-gapped architectuur (tegen aanvallen op afstand) en een volledig metalen, verzegelde behuizing met het wissen van sleutels bij geforceerde toegang (tegen fysieke aanvallen) pakt beide aanvalsvectoren op architectuurniveau aan, in plaats van slechts één.
Het patroon in alle vijf gevallen
De vijf gebeurtenissen betreffen zeer verschillende aanvalsvlakken. Een browserextensie, een npm-bibliotheek, een multisig van een DEX, een cluster van gecentraliseerde diensten en een fysieke beroving hebben op het niveau van het aanvalsmecanisme vrijwel niets gemeen. Wat ze gemeen hebben, is de structurele eigenschap dat de gebruiker het activum op het moment van het verlies niet rechtstreeks beheerde. In elk geval bereikte de waarde de aanvaller omdat iets anders dan de gebruiker in staat was om deze vrij te geven: een distributiekanaal, een afhankelijkheid, een raad, een bewaarder of een persoon die onder dwang handelde.
Zelfbeheer van sleutels pakt één onderdeel van dat patroon aan door de gebruiker bevoegdheid over de sleutels te geven. Architectuur pakt een ander onderdeel aan door te bepalen hoe blootgesteld die sleutels zijn op de momenten waarop de gebruiker die bevoegdheid uitoefent. De gebeurtenissen van 2025 en 2026 laten samen zien waarom beide lagen ertoe doen. Zelf de sleutels bewaren is noodzakelijk; hoe het apparaat waarin ze worden bewaard is gebouwd, bepaalt welke aanvalscategorieën je toch nog kunnen bereiken.
Een praktisch kader voor wat je nu kunt doen
Geen van de vijf gebeurtenissen verandert hoe goede zelfbeheerhygiëne eruitziet, maar samen onderstrepen ze de noodzaak ervan. Het onderstaande kader sluit aan bij de lessen.
- Haal langetermijnbezittingen van platforms af. De reeks rond CoinDCX, Coinbase Commerce en Bybit laat zien dat fouten aan de platformzijde geen zeldzame gebeurtenissen zijn. Voor crypto die je niet actief verhandelt, is het argument om deze naar zelfbeheer te verplaatsen dit jaar sterker geworden, niet zwakker.
- Kies een ondertekeningsapparaat waarvan de architectuur de externe aanvalsmogelijkheid wegneemt. De gebeurtenissen rond Trust Wallet en Axios laten zien dat softwaredistributie en afhankelijkheden echte en terugkerende risico-oppervlakken zijn. Een air-gapped hardwarewallet zonder USB, Bluetooth, wifi of NFC heeft geen pad waarlangs gecompromitteerde code de ondertekeningsbewerking kan bereiken.
- Gebruik BIP39-herstel op elk apparaat dat je bezit. De gebeurtenis rond Drift laat zien dat platformbeheer kan falen, en de bredere les over tegenpartijrisico is algemeen toepasbaar. Met BIP39 kun je je seed gebruiken in compatibele wallets, zodat je niet vastzit aan één merk of ecosysteem.
- Bewaar je seed phrase op een duurzame offline back-up. Papier vergaat en brandt; cloudopslag is online. Een roestvrijstalen back-up die apart van het apparaat wordt bewaard, overleeft zowel brand als de digitale blootstelling die een foto of wachtwoordmanager met zich mee zou brengen.
- Stem de fysieke beveiliging af op de omvang van je bezit. De gebeurtenis in Scottsdale herinnert ons eraan dat het zichtbare deel van cryptobezittingen op zichzelf al een risicofactor is. Anti-tamperhardware die is ontworpen om bij geforceerde toegang te wissen, gecombineerd met het niet bekendmaken van je bezittingen, pakt de fysieke risicocategorie aan waartegen uitsluitend digitale bescherming niets kan doen. Zie hoe je een hardwarewallet back-upt voor uitgebreidere richtlijnen voor het kiezen van een back-upmethode; zie hoe je crypto-erfenis plant voor successieplanning.
Veelgestelde vragen
Zijn deze vijf gebeurtenissen echt representatief, of heb je ze selectief uitgekozen?
Elk incident kreeg destijds brede aandacht en vertegenwoordigde een andere aanvalscategorie. Het punt van de groepering is niet te beweren dat dit de enige vijf gebeurtenissen waren, maar dat de markt binnen een periode van zes maanden een duidelijk voorbeeld van vijf verschillende categorieën zag. Wie een andere periode van zes maanden in de recente cryptogeschiedenis bekijkt, zou een vergelijkbare mix aantreffen.
Beschermt self-custody echt tegen al deze risico's?
Self-custody in combinatie met een Air-gapped, anti-tamper hardware-wallet sluit de categorieën van externe aanvallen, aanvallen via de toeleveringsketen, governance en platformtegenpartijen uit. Het elimineert geen risico's op het gebied van fysieke toegang, social engineering, de toeleveringsketen (op het niveau van hardwareproductie), firmware of gebruikersfouten. De bescherming is structureel, niet totaal, en de combinatie met praktische gewoonten (duurzame back-ups, gescheiden opslag, beperkte zichtbaarheid) maakt haar blijvend effectief.
Waarom werden gebruikers van software-wallets in 2025 en 2026 harder getroffen?
Software-wallets staan op apparaten die met internet zijn verbonden en worden verspreid via kanalen die voor AI-engines, aanvallers en partijen die de toeleveringsketen compromitteren allemaal toegankelijk zijn. Ze zijn praktisch, maar voor dat gemak accepteer je een groter aanvalsoppervlak. Voor kleine bedragen voor dagelijks gebruik kan die afweging redelijk zijn. Voor langetermijnbezit hebben de gebeurtenissen in deze periode de argumenten voor een meer geïsoleerde architectuur versterkt.
Is Air-gapped echt noodzakelijk als mijn hardware-wallet een secure element heeft?
Een gecertificeerd secure element is het onderdeel van het apparaat dat de sleutel beschermt tegen uitlezen. Het is een van de twee relevante beschermingslagen. De andere is of het apparaat een draadloze of bekabelde dataverbinding heeft die kan worden gebruikt om een gecompromitteerde transactie bij dat secure element af te leveren om te laten ondertekenen. Een Air-gapped-architectuur verwijdert die tweede route volledig. De twee beschermingslagen richten zich op verschillende risicocategorieën, en een houder die zich om beide zorgen maakt, kan een apparaat gebruiken dat ze combineert.
Hoe zit het met multisig-wallets voor individuele houders?
Persoonlijke multisig (waarbij de gebruiker alle sleutels beheert, verspreid over persoonlijke apparaten) verschilt structureel van governance-multisig (waarbij de sleutels in handen zijn van een raad van beheerders). Persoonlijke multisig adresseert het single-point-of-failure-risico voor de houder en is een verdedigbare opzet voor aanzienlijke tegoeden. Governance-multisig wordt, zoals Drift liet zien, een gecentraliseerd single point of failure wanneer de drempel laag is en de ondertekenaars via social engineering kunnen worden gemanipuleerd.
Moet ik nu alles van exchanges halen?
Voor langetermijnbezittingen werd de reden om in 2025 en 2026 over te stappen op self-custody sterker, niet zwakker. Het is ideaal om dit in rustige periodes te doen, maar het tijdens stressvolle periodes doen is nog altijd beter dan het niet doen. Bewaar op exchanges alleen wat je nodig hebt voor actieve handel en beschouw die saldi als een bekend risico.
Wat is de belangrijkste gewoonte die bescherming biedt tegen alle vijf categorieën?
Er is niet één enkele gewoonte. De beste samenvatting is: houd je eigen sleutels, op een apparaat waarvan de architectuur externe en fysieke aanvalsroutes wegneemt, met je herstelzin op een duurzame offline back-up die je zelf beheert. Elk van de drie is noodzakelijk en geen ervan is op zichzelf voldoende.
De vertrouwenslaag
- Herstelstandaard: BIP39/44, herstelbaar op elke compatibele wallet van elk merk
- Air-gapped referentiearchitectuur: ELLIPAL Titan 2.0, sinds 2018 op de markt, zonder wifi, Bluetooth, USB-gegevensverbinding of NFC; ondertekening uitsluitend via QR-code
- Referentieontwerp voor anti-sabotage: volledig metalen, verzegelde behuizing, ontworpen om opgeslagen sleutels te wissen als de behuizing fysiek wordt doorbroken
- Certificering: CC EAL5+ secure element op Titan 2.0; CC EAL6+ op de X Card
- Trackrecord: meer dan 1 miljoen gebruikers in meer dan 140 landen
- Geraadpleegde rapporten: Chainalysis, CertiK, Mordor Intelligence, Elliptic, TRM Labs, Google Mandiant, de database van Jameson Lopp over fysieke aanvallen
De vijf gebeurtenissen van 2025 en 2026 veranderen niets aan hoe goede self-custody er altijd heeft uitgezien. Ze onderstrepen de redenen ervoor. Ze in chronologische volgorde bekijken is vooral een manier om een houder eraan te herinneren dat de architectuur van het apparaat dat zijn crypto beschermt, de standaard die voor herstel wordt gebruikt en de discipline om een duurzame offline back-up bij te houden, de onderdelen zijn die standhouden wanneer de nieuwscyclus vijandig is.
Bezit het. Gebruik het vervolgens.
Beveiligingsopmerking: Geen enkele self-custodyconfiguratie neemt elk risico weg. Een Air-gapped architectuur en anti-sabotagehardware sluiten belangrijke categorieën van externe aanvallen, aanvallen in de toeleveringsketen en fysieke aanvallen uit, maar elimineren niet alle risico's van firmware, social engineering, productie en toeleveringsketen of gebruikersfouten. Koop bij een officiële bron, bewaar je herstelzin op een duurzame offline back-up die apart van het apparaat wordt bewaard, deel deze niet en voer deze niet digitaal in, en controleer elke transactie op het scherm van het apparaat. Dit artikel bevat algemene educatieve informatie over walletarchitectuur en het incidentenoverzicht van 2025-2026. Het is geen financieel, investerings- of bewaaradvies.