De verschuiving van 763,9 miljoen dollar: waarom audits van slimme contracten het slechtste kwartaal van Web3 niet konden voorkomen

Beveiligingsoverzicht tweede kwartaal 2026

Het tweede kwartaal van 2026 was de zwaarste periode voor Web3-beveiliging sinds het tweede kwartaal van 2025, waarbij cybercriminelen bij 67 beveiligingsincidenten 763,9 miljoen dollar buitmaakten. De bepalende verschuiving van het kwartaal was een fundamentele verandering in de kwetsbaarheidsprofielen: code is niet langer het belangrijkste aanvalsoppervlak; dat zijn nu operationele controles en sleutelbeheer.

Meer dan 88% van de totale verliezen was het gevolg van operationele inbreuken in plaats van tekortkomingen in de logica van slimme contracten. Institutioneel kapitaal past zich al aan, waarbij de prioriteiten voor due diligence verschuiven van eenmalige audits naar continue monitoring, beheer van geprivilegieerde toegang en autorisatiekaders met meerdere deelnemers.

Volgens het driemaandelijkse beveiligings- en nalevingsrapport van Hacken waren inbreuken op sleutels en infrastructuur verantwoordelijk voor 88,3% van alle gestolen middelen, oftewel ongeveer 674,5 miljoen dollar. Bugs in slimme contracten bleven het meest voorkomende type aanval — 44 van de 67 incidenten — maar vertegenwoordigden slechts ongeveer 11% van de totale verliezen. Ongeveer 75,5% van alle verliezen was afkomstig van slechts twee incidenten die werden toegeschreven aan Noord-Koreaanse cybercriminelen, terwijl slechts 9% van de gevolgde projecten continue monitoring hanteert en 4% audits, bug bounties en live monitoring combineert.

Een belangrijke bevinding uit het tweede kwartaal is dat 14 geauditeerde protocollen werden gehackt — een duidelijke indicatie van de groeiende kloof tussen wat een smart contract-audit daadwerkelijk beoordeelt en waar cybercriminelen daadwerkelijk toeslaan. Voor beveiligingsexperts leggen deze inbreuken de fatale tekortkoming bloot van het beschouwen van een eenmalige codereview als een alomvattend beveiligingsschild.

"De grootste misvatting is dat een audit een beveiligingscertificaat is", aldus Leo Fan, oprichter van Cysic. "Het is in feite een beperkte beoordeling van een specifieke codebase op een bepaald moment. Een audit heeft niet automatisch betrekking op apparaten van ondertekenaars, cloudinfrastructuur, operationele machtigingen, geïmplementeerde bytecode, latere upgrades, afhankelijkheden van derden of oude contracten die nog steeds kunnen worden aangeroepen.”

Eric Swartz, medeoprichter en algemeen juridisch adviseur van Panther Hollow Ventures, sloot zich hierbij aan en zei dat het beschouwen van audits als een einddoel protocollen kwetsbaar maakt. "Een audit laat zien hoe een systeem er op een bepaald moment uitzag", aldus Swartz. "Het garandeert niet dat toekomstige upgrades, operationele wijzigingen of nieuwe aanvalsmethoden geen risico's met zich meebrengen. De sterkste teams zien audits als een onderdeel van een veel breder beveiligingsprogramma."

Samuel Videau, CTO bij Genius, merkte op dat het gedeelte over de reikwijdte in een auditrapport vaak onthult wat er niet is geëvalueerd. "Bijna 90% van de verliezen in het tweede kwartaal was te wijten aan sleutels, ondertekenaars en infrastructuur, allemaal buiten dat gedeelte over de reikwijdte, en 14 geauditeerde projecten werden toch leeggehaald," zei Videau. "Het rapport is niet hetzelfde als het beveiligingsprogramma."

Himanshu Sahay, CTO en medeoprichter van Arch, benadrukte dat audits niet op zichzelf kunnen staan. "Een audit is een belangrijke momentopname van de code en architectuur die zijn beoordeeld, maar kan niet alle operationele risico’s of toekomstige wijzigingen in een systeem in kaart brengen", aldus Sahay. "Beveiliging moet worden gezien als een continu proces."

Code omzeilen: de zwakke plek van off-chain-infrastructuur

Ondertussen, nu de beveiliging van smart contracts volwassener wordt en de on-chain-logica steeds moeilijker te compromitteren is, hebben cybercriminelen hun aanpak drastisch aangepast. In plaats van door zwaar bewaakte voordeuren te breken, omzeilen aanvallers systematisch de code volledig om de zwakke plek van de off-chain-infrastructuur uit te buiten.

"Het meest onderschatte aanvalsvlak is het off-chain-besturingsvlak: ondertekeningsapparaten, procedures voor het genereren en rouleren van sleutels, cloudidentiteiten, CI/CD-pijplijnen, backend-services, bridge-validators en noodbeheerderstrajecten," aldus Fan. "Teams beveiligen vaak de opslag van sleutels, maar besteden minder aandacht aan hoe sleutels daadwerkelijk worden gebruikt… wanneer deze worden gecompromitteerd, kunnen aanvallers transacties genereren die technisch gezien on-chain geldig zijn, waardoor preventie en detectie veel moeilijker worden."

De cloudperimeter zelf geeft veel Web3-ontwikkelaars een vals gevoel van veiligheid.

"De grootste aanname is dat het gebruik van een grote cloudprovider een applicatie standaard veilig maakt," aldus Jerald David, CEO van Lynq. "Cloudproviders beveiligen de onderliggende infrastructuur, maar teams blijven verantwoordelijk voor hoe systemen worden geconfigureerd, hoe inloggegevens worden beheerd en wie er toegang heeft."

Videau waarschuwde ondertussen dat een onjuiste architectuur de multisig-beveiliging teniet kan doen. "De hele operatie draait op servicerollen met te ruime rechten en CI/CD-pijplijnen die toegang hebben tot productiesleutels, en als één serviceaccount je ondertekeningssleutel kan lezen, is je multisig slechts schijn," aldus Videau. "Verouderde contracten die nog steeds beheerdersrechten bevatten, vormen een andere kwetsbaarheid: code die je twee jaar geleden hebt uitgebracht, is een open deur, en het maakt aanvallers niet uit wat jij als binnen het bereik beschouwt."

Nu institutionele beleggers hun risicomodellen herzien, is de lat voor kapitaalinzet aanzienlijk hoger komen te liggen. „Geschikt voor institutionele beleggers“ wordt niet langer bepaald door een onberispelijk auditrapport, maar door bewijs van operationele volwassenheid, governance op ondernemingsniveau en robuuste controles op sleutelbeheer.

"Ik kijk in de eerste plaats naar operationele volwassenheid," zei David. "Kan het team duidelijk uitleggen hoe kapitaal door het systeem stroomt, waar de belangrijkste controlepunten liggen en hoe risico’s worden gemonitord? Instellingen hebben behoefte aan voorspelbaarheid en transparantie."

Sahay merkte op dat geen enkele controle op zichzelf institutionele steun garandeert. "Instellingen willen begrijpen hoe toegang wordt verkregen tot kritieke systemen, hoe machtigingen worden beheerd, hoe activiteiten worden gemonitord en welke processen er zijn als er iets misgaat," zei Sahay. "Het is de combinatie van sterke controles, transparantie en operationele discipline die uiteindelijk vertrouwen opbouwt."

Bij het beoordelen van protocollen richt Fan zich op de bevoegdhedenkaart: wie kan activa verplaatsen, ondertekenaars vervangen of beveiligingsmaatregelen wijzigen. "Als ik één controlemaatregel zou moeten noemen die het meest verband houdt met het vertrouwen van instellingen, dan zou dat autorisatie door meerdere partijen zijn voor elk traject waarbij activa worden verplaatst of upgrades worden uitgevoerd," zei Fan. "Instellingen willen bewijs dat eenzijdig handelen onmogelijk is."

Swartz voegde hieraan toe dat instellingen prioriteit geven aan de manier waarop teams omgaan met tegenslagen. "Instellingen weten dat geen enkel protocol volledig risicovrij is", aldus Swartz. "Waar het om gaat, is of het team beschikt over goed bestuur, sterke interne controles, transparantie rond risico’s en een duidelijk plan om te reageren wanneer er iets misgaat."

De vijf experts zijn het erover eens dat Web3 gelaagde beveiligingsstacks moet invoeren met realtime monitoring, gedisciplineerd sleutelbeheer en responsieve bugbounties om bescherming te bieden tegen steeds veranderende bedreigingen.

"Digitale activa zijn 24 uur per dag actief, maar delen van de infrastructuur die deze ondersteunt, werken nog steeds volgens traditionele financiële schema’s," merkte David op. "Naarmate de markt steeds meer institutioneel wordt, moet de infrastructuur die de verplaatsing en afwikkeling van kapitaal ondersteunt, ook veerkrachtiger worden."

Vooruitblik op de tweede helft van 2026: heroriëntatie van beveiligingsstapels

De experts waarschuwen ondertussen dat de tweede helft van 2026 meer van hetzelfde zal brengen. In plaats van tijd te verspillen aan het reverse-engineeren van geauditeerde smart contracts, zullen cybercriminelen naar verwachting de weg van de minste weerstand blijven volgen: operationele controles, menselijke doelwitten en kritieke infrastructuur.

"Ik verwacht dat aanvallen op operationele toegangscontroles de grootste schade zullen blijven veroorzaken: social engineering, diefstal van inloggegevens, compromittering van ondertekenaars, inbraken in de cloud of CI/CD-omgevingen en aanvallen op off-chain validatorinfrastructuur," voorspelde Fan. "Afzonderlijke bugs in slimme contracten zullen blijven voorkomen, maar aanvallers zullen zich blijven richten op de kortste weg naar bevoegdheid."

Videau sloot af met een oproep om de beveiligingsuitgaven af te stemmen op het werkelijke risico: „Geef geld uit waar de verliezen zich voordoen. Bijna 90% van de gestolen middelen werd verplaatst via sleutels, ondertekenaars en infrastructuur, maar toch worden er nog steeds budgetten gestoken in contractaudits. De ergste aanvallen zijn degene die niemand heeft voorspeld, dus bouw alsof je perimeter al verdwenen is.”