Waar gestolen cryptovaluta echt naartoe gaat: een kijkje in de 45-daagse witwasmachine

Zes jaar, meer dan 16 miljard dollar verdwenen

Cryptodiefstal is niet langer een fase waar de sector van digitale activa langzaam uit groeit, maar een sector op zich. Tot nu toe hebben on-chain-onderzoekers alleen al in de afgelopen vijf jaar een explosieve stijging van de totale gestolen bedragen vastgesteld ($3,7 miljard in 2022, $1,7 miljard in 2023, 2,2 miljard dollar in 2024 en 3,4 miljard dollar in 2025), cijfers die geen tekenen van afname vertonen.

Het is zelfs vermeldenswaard dat bijna de helft van het totaal van vorig jaar afkomstig was van één enkel incident, namelijk de Bybit-hack in februari 2025, waarbij aanvallers het ondertekeningsproces van de cold wallet van de beurs compromitteerden en er met 1,5 miljard dollar vandoor gingen (waardoor dit de grootste cryptodiefstal in de geschiedenis werd).

De eerste helft van dit jaar vertoonde griezelige gelijkenissen, met een totaal van ongeveer 1,1 miljard dollar aan schade verdeeld over een recordaantal van 212 incidenten, volgens beveiligingsbedrijf Blockaid. De grootste afzonderlijke aanval was de exploit van 19 april op het restaking-protocol KelpDAO (ter waarde van 293 miljoen dollar), en TRM Labs telde 207 incidenten in deze zes maanden, meer dan het dubbele van dezelfde periode een jaar eerder.

Het 45-dagen-draaiboek

Wat er doorgaans na de bovengenoemde diefstallen gebeurt, is inmiddels bijna een vast stramien geworden, waarbij onderzoekers een kenmerkende witwascyclus beschrijven die ongeveer 45 dagen duurt en in drie golven verloopt.

Tijdens dag nul tot en met vijf is snelheid het belangrijkst en worden de gestolen tokens doorgaans omgewisseld via gedecentraliseerde financiële (DeFi) protocollen (de activiteit piekt met maar liefst 370%) en doorgesluisd naar mixing-diensten, die munten bundelen en door elkaar husselen om de link tussen bron en bestemming te verbreken. Tussen dag zes en dag tien wisselen de fondsen van blockchain via cross-chain-bruggen en stromen ze via beurzen met beperkte ‘know-your-customer’ (KYC)-controles.

Vervolgens, van ongeveer dag 20 tot dag 45, worden de munten in kleine tranches (meestal minder dan $500.000 om onder de meldingsdrempels te blijven) verzilverd via no-KYC-platforms, instant-wisselkantoren, en Chinese over-the-counter (OTC)-netwerken en garantiediensten zoals de gesanctioneerde Huione-marktplaats.

Bijgevolg heeft het geld aan het einde van de cyclus zoveel ketens, mixers en rechtsgebieden doorkruist dat, hoewel toewijzing mogelijk blijft (aangezien blockchains nooit vergeten), terugvordering zelden mogelijk is. Ter illustratie: minder dan 5% van de gestolen middelen van Bybit is ooit teruggevonden, hoewel de beurs enkele van de meest productieve ‘white hat’-medewerkers aan haar zijde had.

2026: Meer hacks, kleinere buit

Dit jaar hebben aanvallers hun doelwitten uitgebreid, omdat er, naast protocolmisbruiken zoals die van KelpDAO, alleen al in april een maandelijks record werd gevestigd met een buit van 641,67 miljoen dollar. Aan Lazarus gelieerde Noord-Koreaanse groepen zaten achter ongeveer 55% van de verliezen in de eerste helft van het jaar, en volgens de telling van CertiK – die ook phishing en het leeghalen van persoonlijke wallets omvat – bedraagt de schade in deze periode 1,32 miljard dollar, verdeeld over 344 incidenten.

Onlangs liet de aanval op de Coldcard-hardwareportemonnee zien hoe de tactiek zich ook aanpast aan bitcoin. Nadat de aanvaller ongeveer 116 miljoen dollar had leeggehaald uit wallets met zwakke seed-zinnen, begon hij de munten te consolideren terwijl toeschouwers elke stap op de voet volgden. In het licht van dit incident werden de belangrijkste USP’s van bitcoin – zoals transparantie en onomkeerbaarheid – bijna van de ene op de andere dag een tweesnijdend zwaard: hoewel iedereen de verplaatste gestolen munten kon zien, kon niemand ze terugzetten.

Waarom herstel bijna nooit plaatsvindt

Wanneer al deze aanvallen plaatsvinden, is de enige maatregel die keer op keer betrouwbaar heeft gewerkt het gecentraliseerde bevriezen van stablecoins. Tether en Circle kunnen adressen op contractniveau op de zwarte lijst zetten, waardoor alle USDT of USDC die dieven nog in bezit hebben onmiddellijk vast komen te zitten. Dit is precies de reden waarom geavanceerde aanvallers gestolen stablecoins binnen enkele minuten na een inbreuk omzetten in ether of bitcoin, waarbij ze prijsrisico’s accepteren om buiten het bereik van de bevriezing te blijven.

Het is een veelzeggende asymmetrie: de activa die het meest bestand zijn tegen censuur, zijn het gemakkelijkst wit te wassen, en de activa die het gemakkelijkst kunnen worden bevroren, zijn het gemakkelijkst terug te vorderen. Elke witwasstrategie is uiteindelijk een race om het opspoorbare om te zetten in het onopspoorbare, voordat iemand met een pauzeknop het opmerkt.

De ongemakkelijke realiteit van cryptodiefstal is dat preventie bijna alles is. Beurzen en analysebedrijven kunnen middelen bevriezen die via conforme platforms lopen, en dat is precies de reden waarom witwassers zich richten op DeFi en mixers, waar niemand iets kan bevriezen.

Sancties tegen mixers en diensten zoals Huione verhogen de kosten, maar verplaatsen de geldstromen alleen maar naar opvolgers in plaats van ze te stoppen. En de termijn van 45 dagen betekent dat tegen de tijd dat een grensoverschrijdende juridische procedure überhaupt van start gaat, de munten hun reis meestal al hebben voltooid.

Voor gebruikers en platforms is de les dat, zodra hun geld eenmaal is gestolen, de overgrote meerderheid ervan nooit meer terugkomt. Bovendien verloopt de cyclus van de aanvallers sneller dan de naleving van de regelgeving, en elk jaar dat „crypto-diefstal neemt af“ in een kop verschijnt, is het volgende tegenvoorbeeld van een miljard dollar al in gang gezet. De blockchain registreert alles en geeft niets terug.