| Wat je moet weten |
|---|
| 1Rapid7 Labs telde 885.000 telefoonnummers in de buitgemaakte bestanden. |
| 2Van 316.002 Duitse nummers bleken er 43.066 aan een crypto-account gekoppeld, een trefkans van 13,6 procent. |
| 3De aanvallers bootsten Ledger Live, Trezor Suite en Exodus na op Windows en macOS. |
| 4Rapid7 publiceerde het onderzoek op 17 augustus 2026 en werkte het een dag later bij. |
Marktcontext per 21.45 CET. Bitcoin (BTC) noteert 72.598,50 dollar, 0,5 procent onder de 24-uurs high van 72.961,40 dollar. Het 24-uurs volume stijgt 69,7 procent naar 59,7 miljard dollar. De totale marktkapitalisatie staat op 2,47 biljoen dollar. Bron, Kraken en CoinGecko.
Wat Rapid7 in de crypto phishing campagne aantrof
Rapid7-analisten Anna Sirokova en Jan Recinsky troffen in de blootgestelde infrastructuur een complete fraudefabriek aan, opgezet voor bellen op schaal. De analisten vonden dialers, checkers en mailsjablonen naast elkaar op dezelfde server, netjes gesorteerd per land en per merk. De operatie draaide op Asterisk en 3CX, twee telefonieplatformen die het bellen automatiseerden en de gesprekken over de lijsten verdeelden. Go-scripts controleerden nummers tegen accounts bij Kraken, met 300 gelijktijdige verbindingen en steeds wisselende woonproxy’s. Een paneel had 5.576 gevalideerde Binance-gebruikers klaarstaan. Dit draait om schaal. De nep-Trezor-app wachtte tot de echte software startte, sloot die af en vroeg daarna om 12 tot 24 woorden. Telegram-bots stuurden de buit door. Elke stap in de keten was geautomatiseerd, van het samenstellen van de bellijst tot het doorsturen van de seed. Dat is geen amateurwerk.
De bouwers leunden op AI-assistenten voor code, lijstbeheer en obfuscatie, en wisselden van model zodra er een weigerde. Dat verlaagt de drempel. Een operatie van deze omvang vroeg vijf jaar geleden nog een team van ervaren programmeurs, nu volstaat een handvol mensen.
Waarom bijna de helft van de doelwitten in Europa zit
Tel de twee grootste bestanden op. Duitsland levert 316.002 nummers en Polen ruim 103.000, samen goed voor 47 procent van de hele dataset. Die rekensom staat in geen enkel persbericht over deze zaak, maar volgt direct uit de tabellen in het rapport. De lijsten dekken 54 landen. Europa is dus geen bijvangst, maar het hoofddoel van deze fraudepijplijn.
Reken het zelf door. Pas de Duitse trefkans van 13,6 procent toe op alle 885.000 nummers, dan resteren ruim 120.000 accounts. Dat is een bovengrens. De Hongkongse lijst liep namelijk vast op rate limits, waardoor de validatie daar strandde en het echte aantal lager uitvalt. De timing helpt de bellers. Een gestolen seed met 0,1 bitcoin is nu 7.259 dollar waard, tegen 6.840 dollar een dag eerder.
Phishing en social engineering waren in het eerste kwartaal goed voor 306 miljoen dollar aan sectorverlies, meldt Hacken. De grondstof komt uit datalekken bij partijen die de klanten van cryptobedrijven kennen. Zulke bestanden worden doorverkocht. Bij Bits of Gold lagen de gegevens van 200.000 klanten op straat, bij de verzendpartner van Trezor 13.689 dossiers. Wie ooit een hardware wallet naar huis liet bezorgen, staat mogelijk met naam en nummer in zo’n bestand. Een gelekt nummer volstaat. De beller weet dan al welke wallet je thuis hebt liggen.
Wat dit betekent voor de Nederlandse belegger
Nederlandse houders staan niet buiten schot. De AFM waarschuwt op haar eigen risicopagina expliciet voor valse wallet-apps en voor herstelfraude na een eerdere diefstal. Geef je de seed weg, dan is alles weg. Een vergunde aanbieder onder MiCAR, zoals Bitvavo, valt sinds 30 december 2024 onder AFM-toezicht. Dat dekt de dienstverlener. De AFM kan een vergunninghouder aanspreken, maar heeft geen greep op een crimineel callcenter buiten de Europese Unie. Je eigen hardware wallet valt sowieso buiten dat toezicht, dus bij zelfbewaring vergoedt niemand de schade. Krijg je een oproep over je wallet, hang dan op en bel terug via het officiele nummer.
Illustratief, geen advies. Bij een positie van 1.000 euro in zelfbewaring is het verlies na seed-diefstal 1.000 euro, zonder dekking. Een depositogarantie voor crypto bestaat niet. De fiscus houdt er evenmin rekening mee, want wie in maart bestolen wordt, betaalt over 1 januari gewoon door.
Zet 10 juli 2027 in de agenda. Vanaf die datum geldt de Europese antiwitwasverordening AMLR, die anonieme cryptorekeningen en privacymunten bij vergunde aanbieders verbiedt. Meer identificatie bij vergunde aanbieders maakt het wegsluizen van gestolen munten via de reguliere markt lastiger. Tot die datum blijft je telefoon de zwakste schakel. Wie zijn seed op papier houdt en nooit ergens intypt, zet deze hele aanvalsketen buitenspel.
| Zo herken je de belronde |
|---|
| 1De mail komt eerst, het telefoontje volgt, precies zoals in de 885.000 nummers tellende opzet van Asterix. |
| 2De beller noemt je wallet bij naam, want de lijst koppelt nummer aan merk. |
| 3De app vraagt om 12, 18, 20 of 24 woorden, iets wat Ledger Live en Trezor Suite nooit doen. |
| 4Bij 316.002 Duitse nummers werd 13,6 procent bevestigd als crypto-gebruiker, dus de trefkans is hoog. |
| 5Terugbellen via het nummer op de officiele site kost twee minuten en breekt de hele keten. |
Dit artikel is informatief en geen financieel advies. Beleggen in crypto-activa brengt risico op verlies met zich mee. Doe eigen onderzoek naar de voorwaarden, de fiscale gevolgen en de eigen risicobereidheid. Raadpleeg bij twijfel een onafhankelijk adviseur voordat je kapitaal inzet.
