Wat is phishing in crypto?

Phishing in crypto is oplichting waarbij criminelen zich voordoen als een betrouwbaar bedrijf, persoon of instantie. Ze proberen je zo je inloggegevens, codes voor tweestapsverificatie of seed phrase te laten afgeven, of je een transactie te laten ondertekenen die je wallet leeghaalt. Omdat overboekingen van cryptocurrency niet terug te draaien zijn, kan één klik op een neplink je alles kosten wat je bezit.

Wat is phishing in crypto, en waarom het werkt

Phishing is social engineering: de oplichter hackt niet de blockchain, maar jou. Hij stuurt een bericht dat er officieel uitziet, wekt een gevoel van haast en leidt je naar een nepwebsite, nep-app of nepsupportmedewerker, waar je zelf gevoelige informatie afgeeft.

Cryptocurrency is om drie redenen een geliefd doelwit voor fraude. Transacties zijn definitief, dus er is geen bank die een cryptotransactie kan terugdraaien. Gestolen geld kan binnen minuten over grenzen gaan. En wie je seed phrase of private keys heeft, heeft volledige controle over je cryptobezit, zonder mogelijkheid om een wachtwoord te resetten.

Zo werkt oplichting met crypto phishing

De meeste vormen van crypto phishing volgen dezelfde route van lokaas naar diefstal:

1. Het lokaas. Een e-mail, sms, bericht op sociale media of zoekadvertentie waarschuwt dat je account is geblokkeerd, dat er een opname klaarstaat of dat je een airdrop hebt gewonnen.
2. De haast. “Reageer binnen 24 uur of je verliest de toegang.” Door de druk controleer je niets.
3. De neppagina. Een link brengt je naar nepwebsites die de echte inlogpagina nadoen, vaak op domeinnamen die erop lijken, bijvoorbeeld met een extra letter of een andere extensie.
4. De diefstal. Je voert je wachtwoord en 2FA-code in, typt je seed phrase in, of koppelt je wallet en keurt een verzoek goed. De oplichter gebruikt het binnen enkele seconden.

Een voorbeeld in euro’s

Stel dat je voor € 3.000 aan crypto op een exchange hebt staan. Je krijgt een sms: “Ongebruikelijke inlog gedetecteerd, verifieer je account”. De link opent een perfecte kopie van de inlogpagina. Je voert je e-mailadres, je wachtwoord en de 2FA-code uit je app in. De oplichter logt op hetzelfde moment in op de echte exchange en neemt alle € 3.000 op naar zijn eigen walletadres. Een whitelist voor opnameadressen, een wachttijd voor nieuwe adressen of een hardware-beveiligingssleutel had deze aanval tegengehouden.

Wat aanvallers willen

Oplichters willen een van vier dingen: je inloggegevens en eenmalige codes voor je exchange, je seed phrase of private keys, je handtekening onder een kwaadaardige transactie, of dat je zelf cryptocurrency naar hen stuurt. Een echte exchange of walletaanbieder heeft je seed phrase nooit nodig, en vraagt je nooit om een 2FA-code met iemand te delen.

Veelvoorkomende cryptofraude die met phishing samenhangt

Phishing is de toegangsdeur tot veel bredere vormen van cryptofraude. Eén geval van crypto-oplichting combineert vaak meerdere tactieken.

Nepwebsites en nep-apps

Nepwebsites kopiëren de huisstijl van een exchange tot op de laatste pixel, en deze phishingsites worden verspreid via zoekadvertenties, sociale media en berichten. Nep-apps doen populaire wallets na, soms zelfs een tijdje in de Apple App Store of de Google Play Store. Controleer altijd de naam van de ontwikkelaar en typ het officiële adres zelf in.

Oplichters die zich voordoen als een ander

Bij deze vorm van oplichting doen oplichters zich voor als het supportteam van je exchange, je bank, een walletmaker of een overheidsinstantie. Ze bellen, mailen, reageren op je berichten op sociale media of sturen je berichten via berichtenapps over een “beveiligingsprobleem”, en vragen je om geld over te zetten naar een “beveiligde” wallet. Gelekte klantgegevens maken dit overtuigend: na een datalek in 2020 bij hardwarewalletmaker Ledger kregen klanten phishingmails en zelfs nepapparaten per post.

Let in de EU op e-mails die beweren dat je je “opnieuw moet verifiëren voor MiCA” of walletgegevens moet delen met de belastingautoriteiten. Echte verzoeken verschijnen in je exchange-account, niet via links in e-mails.

Beleggingsfraude, nep-beleggingsmanagers en pig butchering

Bij crypto-beleggingsfraude worden nepdashboards gebruikt die enorme winsten laten zien. Bij pig butchering, een vorm van romancefraude, bouwt een vreemde die je via sociale media of een datingapp hebt leren kennen wekenlang vertrouwen op, en stuurt je daarna naar een “beleggingskans” op nepplatforms voor cryptocurrency. Als je wilt opnemen, eist een zogenaamde beleggingsmanager dat je eerst “belasting” of “kosten” betaalt, zodat je nog meer geld verliest. Andere beleggingsfraude gebruikt betaalde groepen die een munt oppompen in een pump-and-dump. Doe je eigen onderzoek, controleer de vergunning van het platform, en zie beloofde vaste hoge rendementen en elke beleggingskans die te mooi lijkt om waar te zijn als waarschuwingssignalen.

Oplichting met crypto-geldautomaten

Oplichting met crypto-geldautomaten richt zich op mensen die geen crypto hebben. Iemand die zich voordoet als de politie, een energiebedrijf of een bank zegt dat je geld van je bankrekening moet halen, het contant moet omzetten bij een cryptokiosk en het naar een QR-code moet sturen die hij je geeft. Geen echte instantie vraagt op deze manier om betalingen in cryptocurrency.

Crypto wallet drainers

Een wallet drainer is een phishingtool die een wallet in eigen beheer leeghaalt zodra je die koppelt en een verzoek goedkeurt. Drainers verstoppen zich achter nep-airdrops, nep-NFT-mints en gekopieerde DeFi-sites. Het gevaarlijke deel is de goedkeuring: één handtekening kan een smart contract toestemming geven om alle tokens van een bepaald type te verplaatsen, nu en later.

Neppe giveaways, browserextensies en andere drainertrucs

Giveawayscams beloven elke cryptocurrency die je stuurt te verdubbelen, of bieden tokens aan als je je wallet koppelt. Neppe giveaways draaien vaak op gehackte of nagemaakte socialemedia-accounts van bekende mensen en bedrijven. Let op deze drainertrucs:

• Kwaadaardige goedkeuringen. Verzoeken als “Approve”, “Permit” of “SetApprovalForAll” op een site die je niet volledig vertrouwt.
• Nep-browserextensies. Nagemaakte walletextensies die je seed phrase stelen als je je wallet “herstelt”.
• Adresvergiftiging. Oplichters sturen je een piepkleine transactie vanaf een adres dat lijkt op een adres dat je gebruikt, in de hoop dat je het de volgende keer uit je geschiedenis kopieert.

Controleer oude tokengoedkeuringen regelmatig en trek ze in, bijvoorbeeld met de token approval checker van Etherscan.

Zo herken je crypto-oplichting en voorkom je phishing

Onze gids met goede beveiligingsgewoontes gaat verder, onder meer over updates voor je apparaten en het verwijderen van browserextensies die je niet herkent.

Wat je doet als je slachtoffer bent

Heb je op een phishinglink geklikt of denk je dat je bent opgelicht, handel dan snel:

• Stop het contact met de oplichter en stuur geen geld meer.
• Neem contact op met je exchange via officiële kanalen, zoals de app. De exchange kan je account blokkeren en soms gestolen geld bevriezen dat op een gereguleerd platform belandt.
• Zet je resterende bezit over naar een nieuwe wallet met een nieuwe seed phrase als je seed phrase of je apparaat mogelijk is gecompromitteerd.
• Bewaar bewijs: walletadressen, transactiehashes, screenshots en berichten.
• Meld het bij je lokale politie en, waar dat relevant is, bij je nationale toezichthouder, zoals de AFM of BaFin. In Nederland kun je ook contact opnemen met de Fraudehelpdesk.

Wees op je hoede voor iedereen die belooft gestolen geld tegen betaling terug te halen. Bij herstelfraude worden slachtoffers voor een tweede keer het doelwit.

Zo bestrijden financiële instellingen en exchanges cryptofraude

Financiële instellingen en crypto-exchanges vormen een tweede verdedigingslinie. Sommige banken tonen waarschuwingen of voegen controles toe vóór een eerste betaling aan een cryptoplatform. Crypto-exchanges met een vergunning in de EU moeten transacties monitoren, kunnen opnames naar bekende adressen van oplichters blokkeren en kunnen gestolen cryptocurrency bevriezen die op hun platform binnenkomt. Bedrijven voor blockchainanalyse helpen de politie om frauduleuze constructies ook in andere landen te traceren. Niets hiervan vervangt je eigen voorzichtigheid: zodra je digitale bezit je wallet verlaat, is het meestal weg.

Crypto phishing: de belangrijkste punten

Phishing is eerst manipulatie en pas daarna diefstal. Deel nooit je seed phrase, controleer elke website en elk verzoek zelf, en zie haast als een waarschuwingssignaal. Ook met perfecte beveiliging zijn cryptoactiva volatiel en kunnen ze al hun waarde verliezen, dus beleg alleen geld dat je kunt missen.

Verwante begrippen

• Oplichting
• Beveiliging
• Herstelzin
• 2FA
• Privésleutel