Cryptohackers hebben in tien jaar tijd meer dan 17 miljard dollar buitgemaakt bij 518 incidenten. Dat blijkt uit nieuwe cijfers van dataplatform DefiLlama. Het opvallendste inzicht: de grootste risico’s liggen steeds minder bij fouten in de technologie en steeds vaker bij de mensen die ermee werken. Gestolen privésleutels, phishing en social engineering zijn inmiddels de belangrijkste aanvalsmethoden.

Privésleutels als zwakste schakel

Ruim 22 procent van alle hacks werd veroorzaakt door brute force-aanvallen, waarbij hackers privésleutels kraken door enorme hoeveelheden combinaties te testen. Bij nog eens 18 procent van de incidenten is de gebruikte methode onbekend, wat erop kan wijzen dat de aanval pas werd ontdekt nadat de schade al was aangericht.

Phishing blijft eveneens een grote bedreiging. Ongeveer 10 procent van de hacks richt zich specifiek op multisignature wallets, waarbij meerdere goedkeuringen nodig zijn voor een transactie. De zwakke plek zit niet in de blockchain zelf, maar in hoe mensen en systemen omgaan met toegang en beveiliging.

Grootste hack van 2026

Hoe actueel het probleem is, bleek afgelopen weekend opnieuw. Een aanvaller stal circa 116.500 restaked Ether (rsETH) via de rsETH-brug van Kelp DAO, gebouwd op LayerZero. De buit was tussen de 290 en 293 miljoen dollar waard, de grootste cryptohack van 2026 tot nu toe.

In de afgelopen zestig dagen werd er in totaal meer dan 600 miljoen dollar gestolen uit DeFi-protocollen, volgens cryptohandelsbedrijf GSR. De aanvallen op Kelp DAO en het Solana-gebaseerde Drift Protocol waren verantwoordelijk voor het leeuwendeel.

Van code naar mens

De verschuiving is duidelijk. Smart contracts worden steeds beter gecontroleerd en geaudit. Hackers passen zich aan en richten zich nu op operationele beveiliging, ontwikkelaarstools en de mensen achter projecten. Een zwak wachtwoord, een onoplettende klik op een link of een medewerker die zich laat misleiden is genoeg.

In het eerste kwartaal van 2026 verloren Web3-projecten 482 miljoen dollar. Daarvan was 306 miljoen dollar het gevolg van phishing en social engineering. Dat is bijna twee derde van het totaal.

AI maakt aanvallen makkelijker

Nieuwe technologieën verlagen de drempel voor cybercriminelen. AI maakt het mogelijk om sneller en op grotere schaal aan te vallen. Daarnaast groeit het aanbod van hacking-as-a-service, kant-en-klare tools waarmee ook minder ervaren criminelen aanvallen kunnen uitvoeren.

Volgens Dyma Budorin, CEO van cybersecuritybedrijf Hacken, kan een wallet volledig worden leeggehaald zodra een gebruiker op een kwaadaardige link klikt. Een veelgebruikte truc is het versturen van kleine bedragen naar een wallet, in de hoop dat de eigenaar later per ongeluk het verkeerde adres kopieert bij een overboeking.

Er is ook goed nieuws

De verliezen door phishing daalden in 2025 aanzienlijk, wat wijst op groeiend bewustzijn onder gebruikers. Maar nieuwe vormen van malware en aanvalstechnieken blijven zich ontwikkelen. De strijd verschuift, maar is niet gewonnen.

Voor beleggers is de boodschap onveranderd: de grootste bedreiging voor je crypto is niet een fout in een smart contract maar een moment van onoplettendheid. Privésleutels offline bewaren, nooit op onbekende links klikken en elke transactie dubbel controleren blijft de beste verdediging.