| Wat je moet weten |
|---|
| 1De aanval betrof een Safe-wallet met aanvullende modules, niet alle Safe-wallets of alle rsETH. |
| 2Bot Yoink voerde de winstgevende transactie eerder uit dan de oorspronkelijke aanvaller. |
| 3Bitquery zag bij zijn meetmoment het grootste deel van de buit nog op het ontvangstadres. |
| 4Een onderschepping of gemelde blokkade is geen bewijs dat de eigenaar zijn geld terug heeft. |
Correctie, 15 september 2026. De eerdere kop suggereerde dat de bot het geld had gered. Ook presenteerden we bevindingen ten onrechte als een eigen controle op de blockchain en beschreven we een blokkade te stellig. Hieronder staat wat de beschikbare bronnen daadwerkelijk aantonen.
Wat er met de rsETH gebeurde
Volgens de transactieanalyse van Bitquery misbruikte de aanval een uitvoerpad via aanvullende walletmodules. De kernsoftware van Safe en de dekking van rsETH waren volgens dat onderzoek niet de oorzaak. Yoink kwam tussenbeide door de transactie eerder te laten uitvoeren: een vorm van front-running.
In de reconstructie bleef 2.882,37 rsETH op een ontvangstadres staan, terwijl een kleiner deel werd verkocht. Bitquery zag bij zijn meetmoment geen uitgaande overdrachten vanaf dat adres. Het onderzoek vermeldt later ook dat de eigenaar modules uitschakelde. Dit zijn bevindingen van Bitquery over specifieke transacties, geen voortdurend bijgewerkte controle door CryptoFocus.
Onderschept is nog niet terug
Er zijn drie verschillende vragen: wie was de aanvaller voor, waar bevinden de tokens zich en wie kan er weer over beschikken? Alleen de eerste beantwoorden is onvoldoende om van een redding te spreken. Geld kan bij een andere partij belanden en voor de eigenaar nog steeds onbereikbaar zijn.
Crypto Times meldde een tijdelijke blokkade door Kelp. Dat bericht vormt op zichzelf geen bewijs van terugbetaling. Bitquery schreef bovendien dat het in de onderzochte gegevens geen bijbehorende beheertransactie had waargenomen. Daarom kunnen we hier geen actuele eindtijd van een bevestigde blokkade noemen.
De toestemming van een module telt mee
De documentatie van Safe beschrijft modules als uitbreidingen met eigen logica, bijvoorbeeld voor automatische transacties. Een geactiveerde module kan via een afzonderlijke route transacties uitvoeren. Daarvoor is niet steeds de gewone verzameling handtekeningen nodig. Safe waarschuwt dat een onveilige module een wallet kan overnemen.
Dat verklaart waarom alleen het aantal vereiste handtekeningen controleren niet genoeg is. Een wallet met meerdere ondertekenaars kan daarnaast bevoegdheden hebben die de eigenaar uit het oog heeft verloren. De relevante controle is dan welke uitbreidingen actief zijn, welke handelingen ze toestaan en of die bevoegdheden nog nodig zijn.
Gebruik bij zo’n controle de officiële walletomgeving en vergelijk het concrete contractadres. Een algemene melding over rsETH betekent niet dat elke houder is geraakt. Een onbekende website die na een hackbericht om een nieuwe toestemming vraagt, is evenmin een herstelroute. Ons artikel over phishing rond hardwarewallets behandelt dat andere risico.
Waar een vervolgbericht bewijs voor moet leveren
Een terugbetaling vraagt om een aantoonbare overdracht of een bevestiging van de rechthebbende. Een blokkade vraagt om controleerbare informatie over het middel, de reikwijdte en de geldigheidsduur. Zonder die informatie blijft het zorgvuldigste oordeel dat de buit is onderschept en herstel niet is aangetoond.
Marktcontext, 15 september 2026 om 21.40 uur Nederlandse tijd (CEST). ETH/USD noteerde op Kraken 2.407,30 dollar. Dat is een koersmomentopname; er volgt geen oorzakelijk verband met deze aanval uit.
Bron: CoinCodex
