Hoe stal het Sality botnet acht jaar bitcoin en ethereum?

Marktcontext per 17.35 CET. Bitcoin noteert 76.996,20 dollar, dat is 1,4 procent onder de 24-uurs high van 78.072,30 dollar. Ether staat op 2.386,78 dollar. Dat is 2,7 procent onder de piek van gisteren, terwijl het volume met 32 procent steeg. Bitcoin dominantie staat op 59,1 procent. Bron, Kraken en CoinGecko.

Acht jaar lang wisselde malware elk gekopieerd adres om

EggJagger heette de malware. Het programma controleerde continu het klembord van elk besmet toestel, altijd op zoek naar bruikbare cryptoadressen om te kapen. Het sloeg meteen toe. Binnen milliseconden verscheen op het scherm een heel ander adres, een adres van de criminelen zelf. Het slachtoffer merkte niets. Sality bestond al sinds 2003, maar richtte zich pas de laatste acht jaar op cryptodiefstal. Een centrale server ontbrak. Het netwerk verspreidde zichzelf zelfstandig via netwerkschijven en USB sticks, zonder tussenkomst van de bende.

Justitie meldde de zaak dinsdag. Naast de FBI en defensie onderzoekers van DCIS hielp ook CrowdStrike mee aan de internationale operatie. Europol en Eurojust deden mee. Ook opsporingsdiensten uit Bulgarije, Hongarije en Roemenie sloten aan bij de internationale jacht op de bende. Samen schakelden ze 15.000 computers uit. Bestaande malware bleef staan. CrowdStrike verving de kwaadwillende adressen in het netwerk stilletjes door eigen sinkholes, waardoor het contact met de bende brak.

Het Sality botnet werd een onbedoelde belegger

Het stal in totaal 150.000 dollar. Toch gaven ze niets uit. De gestolen munten bleven jaar na jaar gewoon staan, terwijl de koersen van bitcoin en ethereum stegen. Begin 2025 was de stapel anders. De nooit verkochte munten waren toen ineens 1,35 miljoen dollar waard, negen keer de oorspronkelijke buit.

De koers deed het werk. Niet de criminelen zelf zorgden voor de winst, maar simpelweg het feit dat ze bleven zitten. Geduld bleek lonend. Bitcoin staat nu op 76.996 dollar, ver boven de koersen uit hun actieve periode tussen 2018 en 2025. Klein wordt groot. Zelfs criminelen HODL’en soms zonder het te willen, HODL’en betekent vasthouden ondanks koersschommelingen, en worden daarvoor toevallig beloond.

Wat dit betekent voor de Nederlandse belegger

Bitvavo en andere Nederlandse aanbieders werken onder MiCA, de Europese cryptoregels, en onder toezicht van de AFM. Die vergunning helpt niet altijd. Clipjacking gebeurt namelijk op je eigen computer, ruim voordat een transactie de beurs ooit bereikt. Geen beurs ziet dat aankomen. De verantwoordelijkheid ligt bij de gebruiker. Controleer daarom elk adres dubbel, elke keer opnieuw.

Stel dat een Nederlandse belegger in 2018 zonder het te weten 150 euro kwijtraakte aan clipjacking. Dat is nu 1.350 euro waard. Dat is illustratief, geen advies. Het toont wel het risico. Voor de Nederlandse Box 3 vermogensbelasting telt gestolen crypto niet meer mee, want het bezit is simpelweg weg. Een schrale troost, dus.

Houd 16 september in de gaten. Dan neemt de Federal Reserve een rentebesluit dat de markt in de dagen erna extra volatiel kan maken. Meer transacties betekent meer risico. Controleer daarom dubbel voor je verstuurt.

Dit artikel is informatief en geen financieel advies. Beleggen in crypto-activa brengt risico op verlies met zich mee. Doe eigen onderzoek naar de voorwaarden, de fiscale gevolgen en de eigen risicobereidheid. Raadpleeg bij twijfel een onafhankelijk adviseur voordat je kapitaal inzet.