800 servers in beslag, Russische cyberhost draaide op crypto

Maandagochtend 18 mei stond de FIOD voor de deur op vijf adressen in Almere, Dronten, Enschede en Schiphol Rijk. 800 servers in beslag genomen, twee verdachten in de cel. MIRhosting en WorkTitans blijken de Nederlandse poot van Stark Industries, het Moldavische hostingnetwerk van de broers Neculiti. Op de Stark-site staat zonder omhaal te lezen dat je kunt betalen met Bitcoin, Monero, Dash of Ether.

De inval in vijf locaties

NOS meldde dat de verdachten een 57-jarige bestuurder uit Amsterdam zijn en een 39-jarige uit Den Haag. Beiden krijgen het verwijt dat ze gesanctioneerde Russische diensten in de lucht hielden. Voor de FIOD is dit een grote vis.

Help Net Security berichtte dat het Nederlandse netwerkverkeer doorrouteerde naar Russische operatie-eenheden. De Volkskrant en de Deense omroep DR werkten maanden aan het verhaal. Beide hostingbedrijven, MIRhosting en WorkTitans, bleken de Nederlandse pijler van een breder Europees netwerk.

De Deense connectie maakt het scherper. In de week van de Deense gemeenteraadsverkiezingen in november 2025 trof een golf cyberaanvallen overheidsorganisaties. Een groot deel van het verkeer kwam uit Almere en Enschede. 1Almere bevestigde de timing. Betrokken bronnen noemden de inbeslagname van 800 servers in één Nederlandse actie ongekend.

Wie zijn de Neculiti-broers

Ivan en Iurie Neculiti runnen al jaren een hostingrijk vanuit Moldavië. Stark Industries Solutions is de paraplu. Geregistreerd op een postbus in Londen, machines in Nederland, klanten wereldwijd. BleepingComputer somde op dat de Europese Unie het bedrijf in mei 2025 op de sanctielijst zette. Reden: het faciliteren van Russische cyberaanvallen en desinformatiecampagnes tegen EU-lidstaten.

Brian Krebs lichtte de Nederlandse pijler al in 2024 uit. MIRhosting deelt zijn datacenter met het Nederlandse Serverius en huisvest een groot deel van het Stark-verkeer. CORRECTIV dook dieper. Stark hostte tot voor kort openlijk Recent Reliable News, een Russisch propagandakanaal dat de EU in 2023 al op de sanctielijst zette.

Spamhaus, een non-profit die kwaadaardig internetverkeer monitort, telde over twee maanden 48 botnet-controlescripts van het pro-Russische hackerscollectief NoName057(16). De helft draaide op Stark-servers. De Neculitis spreekt van toeval. Spamhaus noemt het patroon.

De crypto-route, openlijk geadverteerd

Hier raakt het verhaal CryptoFocus-lezers direct. Op de eigen site staat Stark Industries letterlijk te koop voor Bitcoin, Monero, Dash en Ether. Geen verstopt onderdeel, geen subbedrijf. Vier knoppen op de afrekenpagina. Augur Security analyseerde dat dit precies het bulletproof-hostingmodel is. Lage prijzen, cryptobetaling, geen vragen.

Voor wie crypto langer volgt is dit oud nieuws. Voor de Nederlandse politieke discussie niet. Crypto staat nu in één adem met sanctie-omzeiling en Russische cyberaanvallen. De timing botst met de MiCAR-implementatie en de behandeling van het Nederlandse AI-toezichtwetsvoorstel.

Voor de doorsnee Nederlandse Bitcoin-houder is dit geen ramp. Voor wie privacycoins op de plank heeft liggen, juist wel.

Privacycoins, de EU schroeft de duimen

Monero ligt in de EER grotendeels op zijn rug. Kraken haalde de coin in oktober 2024 uit het Europese aanbod, na druk van toezichthouders. Bitvavo nam Monero nooit op. Dash zit op de wip. Zcash krijgt vergelijkbare vragen. Kleinere platforms volgen het Kraken-spoor richting 1 juli.

De logica van de toezichthouder is simpel. Privacycoins zijn per ontwerp slecht traceerbaar. Voor de FIOD betekent dat zelfs het uitschakelen van een heel datacenter de cryptobetaling buiten beeld laat. Daar wringt de schoen.

Wat de Travel Rule per 1 juli verandert

Op 1 juli 2026 sluit MiCAR de overgangsperiode in de EER. Vanaf dat moment vraagt elke crypto-overboeking boven 1000 euro tussen gelicentieerde platforms identificatie van zender en ontvanger. Daarnaast loopt DAC8 sinds 1 januari 2026. Cryptodienstverleners rapporteren vanaf 31 januari 2027 jaarlijks klant- en transactiedata aan de Belastingdienst. Onze AI-sandbox-analyse behandelde hoe Europese en Amerikaanse regulering naar elkaar toe schuiven.

Het ironische verschil zit hier. Het Stark-scenario valt buiten beide kaders. Bulletproof hosts hebben geen MiCAR-vergunning en rapporteren dus niet aan de Belastingdienst. Wel knijpt de Travel Rule het netwerk op het punt waar het geld de gereguleerde wereld binnenkomt. Security Affairs documenteerde dat Stark-rebrands het mechanisme steeds opnieuw proberen te omzeilen.

Elke EER-exchange waar een Stark-klant zijn Bitcoin omzet naar euro’s, valt vanaf 1 juli onder strikte herkomstcontroles. Dat is de echte sluiproute die nu dicht gaat.

Wat dit voor jouw portefeuille betekent

Drie effecten worden de komende weken zichtbaar. EER-exchanges versnellen hun privacy-coin-delistings voor 1 juli. De AFM scherpt Travel Rule-controles bij Nederlandse CASP-houders aan. Bulletproof hosting verplaatst naar Moldavië, Transnistrië en de Golfregio.

Voor Bitcoin en Ethereum gebeurt er niets. Beide blijven volledig EER-toegankelijk en op alle grote exchanges genoteerd. Het narratief van crypto voor criminelen steekt politiek even de kop op, maar dat raakt de fundamenten niet. Onze Hyperliquid USDC-analyse toonde dat institutionele instroom richting gereguleerde stablecoins juist versnelt.

Voor wie nog Monero, Dash of Zcash op een EER-exchange heeft staan: kom in beweging. Check de delisting-aankondigingen van je platform. Verkoop tegen marktprijs of verplaats naar self-custody. Bij gedwongen delisting zet je exchange de coins vaak automatisch om naar Bitcoin, tegen een prijs die jij niet zelf kiest.

Let op, dit is geen financieel advies. Crypto is volatiel en je kunt je gehele inleg kwijtraken.