Hoe weet je of je cryptowallet is gehackt? 10 waarschuwingssignalen

Een bevestigde overboeking waarvoor je geen toestemming hebt gegeven, is het duidelijkste teken dat er iets mis is. Maar een wallet kan al onveilig zijn voordat er geld verdwijnt. Met een gestolen herstelzin, een verborgen bestedingsmachtiging of een wijziging van wie de wallet beheert, kan een aanvaller toegang krijgen terwijl je saldo er nog normaal uitziet.

Sommige van de onderstaande waarschuwingssignalen wijzen op daadwerkelijke diefstal. Andere geven aan dat je wallet of apparaat mogelijk kwetsbaar is. Dat verschil is belangrijk, omdat de oplossing afhangt van de manier waarop de aanvaller toegang heeft gekregen.

Als er op dit moment geld uit je wallet verdwijnt, stort er dan niets meer op en ga direct naar de stappen om te reageren aan het einde van dit artikel.

Wat betekent het eigenlijk als een cryptowallet is gehackt?

Je crypto staat geregistreerd op een blockchain. Met je wallet beheer je die via privésleutels of andere autorisatieregels. Met een herstelzin, ook wel seed phrase genoemd, kun je de sleutels van veel walletaccounts opnieuw aanmaken.

Mensen gebruiken het woord 'gehackt' voor verschillende problemen:

• Gestolen sleutels: Iemand heeft je privésleutel of herstelzin en kan vanaf een ander apparaat transacties autoriseren.
• Misbruik van machtigingen: Je hebt een smart contract goedgekeurd of een verzoek ondertekend waardoor iemand bepaalde bezittingen kan verplaatsen. Je sleutels kunnen nog steeds geheim zijn.
• Een gecompromitteerd apparaat of een onveilige app: Malware, een nepwallet of een schadelijke browserextensie steelt gegevens of verandert wat je op het punt staat te verzenden.
• Een gecompromitteerd exchangeaccount: Iemand krijgt toegang tot het account waarin een bedrijf namens jou crypto bewaart.

Een hardwarewallet helpt privésleutels te beschermen, maar maakt een gevaarlijke machtiging niet veilig. Als je de verkeerde handeling autoriseert, kan de hardwarewallet die gewoon correct ondertekenen.

1. Er verdwijnt echte crypto uit je wallet zonder jouw toestemming

Je ziet een afgeronde overboeking, NFT-verkoop of opname die je niet kunt verklaren. Dit kan gebeuren terwijl je telefoon uitstaat of je niet achter je computer zit.

Sluit eerst uit dat het om iets gaat wat je eerder hebt ingesteld, zoals een automatische betaling, een opname bij een exchange of een handeling in een handelsapp. Controleer daarna de daadwerkelijke transactie op de blockchain.

Bevestig dat er echt een bezit is verplaatst en dat je saldo is gedaald. Een vreemde vermelding in het activiteitenoverzicht van je wallet is op zichzelf niet genoeg. Oplichters kunnen misleidende tokenregistraties aanmaken die lijken te tonen dat er vanaf jouw adres iets is overgemaakt.

Als je hebt bevestigd dat echte bezittingen zonder toestemming zijn verplaatst, onderneem dan onmiddellijk actie. Je hoeft niet te wachten totdat je hele wallet is leeggehaald.

2. Nieuwe stortingen verdwijnen vrijwel onmiddellijk

Je stuurt ETH of een andere munt van het netwerk naar je wallet om transactiekosten te betalen. Binnen enkele seconden gaat die naar een onbekend adres. Bij de volgende storting gebeurt hetzelfde.

Dit is een bekend patroon bij een sweeperbot: een programma dat een blootgestelde wallet in de gaten houdt en automatisch beschikbaar geld wegsluist. Als je zeker weet dat je dit niet zelf hebt geautomatiseerd, zijn zulke herhaalde opnames een sterk teken van ongeoorloofde toegang.

De bot kan op de computer van de aanvaller draaien. Je walletapp sluiten of je telefoon opnieuw opstarten helpt dan niet. Sommige bots laten kleine bedragen staan totdat er een grotere storting binnenkomt. Geld dat onaangeroerd blijft, bewijst dus niet dat de wallet veilig is.

Blijf geen geld voor gasfees toevoegen en stuur geen teststorting. Mogelijk financier je daarmee alleen de aanvaller.

3. Je ontdekt onbekende machtigingen voor tokens of NFT's

Veel cryptoapps vragen toestemming om tokens uit te geven. Zulke goedkeuringen kunnen nog lang actief blijven nadat je de app niet meer gebruikt.

Waarschuwingssignalen zijn bijvoorbeeld een onlangs toegevoegde partij met bestedingsrechten die je niet kent, toegang die is verleend na een bezoek aan een verdachte website of een bestedingslimiet die veel hoger is dan nodig voor de handeling. Met een NFT-machtiging kan een operator soms alle NFT's uit een bepaalde collectie die jij bezit overdragen.

Onbeperkte goedkeuringen komen ook bij legitieme apps voor en bewijzen dus niet dat je gehackt bent. Het gaat erom wie toegang heeft, wat die partij kan verplaatsen en of je dat bewust hebt toegestaan.

Controleer het netwerk, het echte tokencontract, de partij met bestedingsrechten en het bedrag. De verbinding tussen een website en je wallet verbreken trekt een goedkeuring die al op de blockchain staat niet in.

4. Een zogenaamd inlogverzoek verleent bestedingsrechten

Je bezoekt een website om in te loggen, een beloning te claimen of je wallet te verifiëren. De site vraagt om een handtekening zonder transactiekosten. In het verzoek staan een tokenbedrag, een partij met bestedingsrechten of een NFT-verkooporder die je niet wilde goedkeuren.

Sommige handtekeningen kunnen toestemming geven voor uitgaven zonder dat je een afzonderlijke goedkeuringstransactie doet. Permit en Permit2 en handtekeningen voor orders op marktplaatsen zijn hier voorbeelden van. Legitieme apps gebruiken ze, maar oplichters kunnen ze vermommen als onschuldige inlogstappen.

Dat er geen gasfee is, zegt niets over de veiligheid van de handtekening.

Er is nog een addertje onder het gras: een ondertekende maar nog niet gebruikte machtiging kan buiten de blockchain blijven totdat iemand die indient. Je gewone transactielijst en soms zelfs je controletool voor goedkeuringen kunnen er schoon uitzien terwijl de machtiging nog geldig is.

Heb je een verdacht verzoek ondertekend, stop dan met het gebruik van de website en onderzoek waarvoor je handtekening toestemming gaf. Hoe je dit annuleert, hangt af van het soort machtiging. Het intrekken van een gewone goedkeuring maakt niet iedere ongebruikte handtekening ongeldig.

5. De wallet heeft een nieuwe eigenaar of onbekende beheermachtiging

Sommige wallets hebben meerdere eigenaren, herstelcontacten, tijdelijke ondertekeningssleutels of softwaremodules die handelingen kunnen uitvoeren. Dit worden vaak smart wallets of smart accounts genoemd.

Een eigenaar die je nooit hebt toegevoegd, een verlaagd aantal vereiste handtekeningen, een onbekende herstelmethode of een nieuwe module vraagt direct om aandacht. Afhankelijk van de bevoegdheden kan zo'n wijziging iemand in staat stellen geld te verplaatsen zonder je gebruikelijke goedkeuringsproces.

Op Ethereum en compatibele netwerken kan een gewone wallet via EIP-7702 ook code machtigen om via het walletadres te handelen. Een kwaadwillende machtiging kan blijvende toegang geven zonder je herstelzin te onthullen.

Een belangrijk detail wordt snel over het hoofd gezien: bij deze functie kan een geaccepteerde delegatie blijven bestaan, zelfs als de uitvoering van de transactie mislukt. Het label 'mislukt' betekent dus niet altijd dat de beheerinstellingen ongewijzigd zijn gebleven.

Controleer deze machtigingen met de officiële tools van de wallet. Alleen tokengoedkeuringen intrekken verwijdert geen onbekende walleteigenaar of delegatie.

6. Je herstelzin of privésleutel is blootgesteld

Je hebt je herstelzin op een website ingevuld, naar iemand gestuurd die beweerde van de klantenservice te zijn, of ingevoerd in een walletapp die nep bleek. Misschien ontdek je ook dat een leesbare back-up toegankelijk was via een gehackt cloudaccount of een gedeeld bestand.

Beschouw de accounts die door dat geheim worden beheerd als gecompromitteerd, zelfs als er nog niets is verplaatst. Iemand kan de wallet ergens anders opnieuw aanmaken zonder dat je app een inlogwaarschuwing geeft.

Het wachtwoord van je walletapp wijzigen verandert de blootgestelde privésleutels niet. Een nieuw account aanmaken met dezelfde herstelzin lost het probleem evenmin op.

De omvang van het lek is belangrijk. Een uitgelekte herstelzin kan veel accounts blootstellen. Een afzonderlijk geïmporteerde privésleutel die uitlekt, raakt mogelijk alleen het account dat die sleutel beheert.

7. Je walletapp of extensie lijkt te zijn vervangen

Je ontdekt een extensie die je nooit hebt geïnstalleerd, een nepdownload van een wallet of een beveiligingswaarschuwing over software die walletgegevens steelt. Ook kan je vertrouwde wallet na een onverklaarbare verandering plotseling vragen om deze te herstellen.

Zo'n herstelverzoek kan een onschuldige oorzaak hebben, zoals een herinstallatie of gewiste appgegevens. Het is een reden om de software te controleren voordat je geheimen invoert, geen zelfstandig bewijs van diefstal.

Controleer de app via de officiële website van de walletaanbieder en verifieer de identiteit van de extensie. Een bekende naam en een logo zijn eenvoudig na te maken.

Als je je herstelzin al in verdachte software hebt ingevuld, ga er dan van uit dat die is blootgesteld. De app verwijderen wist niet de kopie die de aanvaller al heeft.

8. Het ontvangstadres verandert wanneer je het plakt

Je kopieert het adres van een ontvanger, plakt het in je wallet en ziet een ander adres. Klembordmalware kan crypto-adressen vervangen door adressen van een aanvaller.

Dit wijst op een probleem met het apparaat of de software. Het betekent niet noodzakelijk dat iemand je privésleutel heeft, maar maakt het apparaat wel onveilig voor overboekingen.

Aanvallers kunnen vervangende adressen gebruiken die op het origineel lijken. Door alleen de eerste en laatste paar tekens te controleren, kun je de verwisseling missen. Vergelijk het volledige bestemmingsadres met een vertrouwde kopie. Gebruik je een hardwarewallet, controleer het adres dan op het scherm van het apparaat voordat je goedkeurt.

Annuleer de transactie als de adressen verschillen. Telkens opnieuw kopiëren en plakken totdat er een goed lijkt, lost het probleem niet op.

9. Onverklaarbare verliezen verspreiden zich over accounts of netwerken

Eén ontbrekend token kan het gevolg zijn van een specifieke bestedingsmachtiging. Niet-geautoriseerde overboekingen vanuit meerdere accounts die van dezelfde herstelzin zijn afgeleid, wekken het vermoeden dat meer sleutels zijn blootgesteld.

Bijvoorbeeld: verlies op twee netwerken in combinatie met activiteit vanuit een ander account onder dezelfde herstelzin vraagt om breder onderzoek. Controleer elk getroffen account en netwerk in plaats van aan te nemen dat het probleem beperkt blijft tot het eerste token dat je opviel.

Dit patroon helpt de oorzaak af te bakenen, maar geeft geen definitief uitsluitsel. Meerdere schadelijke machtigingen of een walletautorisatie die op verschillende netwerken geldig is, kunnen ook tot grote verliezen leiden.

Het is normaal dat een walletadres op verschillende Ethereum-achtige netwerken hetzelfde is. Dat is op zichzelf geen waarschuwingssignaal. Het gaat om onverklaarbare activiteit met die accounts.

10. Je exchangeaccount vertoont onbekende toegang of opnames

Als je crypto op een exchange bewaart, controleer dan op onbekende sessies, gewijzigde herstelgegevens, nieuwe opnameadressen of opnames waar je niet om hebt gevraagd. Ongevraagde wijzigingen in tweefactorauthenticatie zijn bijzonder ernstig.

Open zelf de officiële app of website om de waarschuwing te verifiëren. Een alarmerende e-mail kan phishing zijn. Een onbekende locatie kan ook door een VPN of mobiel netwerk komen. Beoordeel daarom het apparaat, het tijdstip en de accountactiviteiten samen.

Als iemand je exchangeaccount heeft overgenomen, moet je de accountbeveiliging aanpakken. Gebruik indien beschikbaar de accountvergrendeling of opnamebeperking van de aanbieder, neem contact op met de officiële ondersteuning en beveilig je e-mail en authenticatiemethoden.

Deze inlogcontroles werken niet op dezelfde manier bij een eenvoudige wallet die door een herstelzin wordt beheerd. Iemand met de sleutels hoeft mogelijk nooit in te loggen op je app.

Vreemde activiteit die niet bewijst dat je gehackt bent

Verschillende veelvoorkomende situaties kunnen verontrustend lijken:

• Een lager saldo in dollars: De koers kan zijn gedaald terwijl je nog evenveel munten bezit.
• Ontbrekende tokens in de app: Je hebt misschien het verkeerde account of netwerk geselecteerd, de token verborgen of een weergaveprobleem.
• Een onbekende Bitcoin-output: Bij een betaling kan het wisselgeld naar een nieuw wisselgeldadres gaan dat door je eigen wallet wordt beheerd.
• Een ongevraagde token of NFT: Spam op zichzelf bewijst niet dat je sleutels gestolen zijn. Verberg de token of NFT in plaats van op links te klikken of een transactie te ondertekenen om deze te verwijderen.
• Zeer kleine overboekingen of overboekingen van nul waarde met een herkenbaar adres: Dit kan adresvergiftiging zijn, waarbij oplichters een sterk gelijkend ontvangstadres in je geschiedenis plaatsen in de hoop dat je het later kopieert.

Sommige neptokens kopiëren de naam en het symbool van een echte token. Ze kunnen zelfs misleidende registraties van uitgaande overboekingen aanmaken. Controleer het echte tokencontract en je saldo voordat je zo'n registratie als bewijs van diefstal ziet.

Kopieer liever geen ontvanger uit recente activiteiten. Vraag het adres op bij een geverifieerde ontvanger of gebruik een betrouwbaar adresboek.

Zo controleer je wat er daadwerkelijk is gebeurd

Gebruik een betrouwbare blockchainverkenner voor het juiste netwerk. Je kunt een openbaar adres onderzoeken zonder je wallet te verbinden, kosten te betalen of je herstelzin prijs te geven.

Controleer de volgende gegevens:

1. Het account en netwerk: Controleer of je het adres onderzoekt waarop de verdwenen bezittingen stonden.
2. De transactiestatus: Maak onderscheid tussen nog lopende activiteiten en voltooide overboekingen. Controleer bij walletdelegaties ook of machtigingen zijn gewijzigd ondanks een mislukte uitvoering.
3. Het echte bezit: Verifieer het tokencontract of de NFT-collectie in plaats van alleen op de naam of het logo te vertrouwen.
4. De saldowijziging en bestemming: Stel vast wat is verdwenen en waar het naartoe ging. Bekijk naast de hoofdtransactielijst ook token- en NFT-overboekingen.
5. Eerdere machtigingen: Zoek naar goedkeuringen, handtekeningen of wijzigingen in het walletbeheer die verband houden met het verlies.

Wanneer iemand een tokengoedkeuring gebruikt om je bezittingen weg te nemen, kan een ander account als afzender van de transactie staan vermeld. Dat maakt de overboeking niet onschadelijk. Andersom bewijst een tokenregistratie met jouw adres als bron niet dat je de transactie zelf hebt ondertekend.

Als de blockchainregistraties lastig te interpreteren zijn, deel dan het openbare adres en de transactiehash met geverifieerde walletondersteuning. Die gegevens kunnen helpen bij onderzoek zonder je sleutels bloot te stellen.

Wat je moet doen als de waarschuwingssignalen worden bevestigd

Stop met geld toevoegen en verzoeken ondertekenen

Pauzeer stortingen naar de getroffen wallet. Wijs nieuwe ondertekeningsverzoeken af, ook aanbiedingen om de wallet te 'repareren', 'valideren' of 'ontgrendelen'. Gebruik een mogelijk besmet apparaat niet meer en ga verder op een ander, vertrouwd apparaat.

Als een herstelzin of privésleutel is uitgelekt

Maak voor een gewone wallet die door het blootgestelde geheim wordt beheerd op een vertrouwd apparaat een nieuwe wallet aan met een volledig nieuwe herstelzin. Verplaats de resterende bezittingen als dat veilig kan en gebruik de getroffen accounts daarna niet meer. Pas betaaladressen aan die nog naar die accounts verwijzen.

Als er een sweeperbot actief is, stort dan geen extra gasgeld in de oude wallet. Het redden van de resterende bezittingen kan gespecialiseerde afhandeling van transacties vereisen en succes is niet gegarandeerd.

Als het probleem een goedkeuring of ondertekende machtiging is

Trek de betreffende machtigingen in via een geverifieerde tool en controleer of de intrekking is voltooid. Een goedkeuring voor één token op één netwerk geldt niet automatisch overal elders.

Volg voor een verdachte, nog niet gebruikte handtekening de specifieke annuleringsprocedure van de wallet of het protocol. Misschien moet je bezittingen verplaatsen terwijl je nagaat of de machtiging nog kan worden gebruikt.

Met het intrekken van machtigingen krijg je reeds gestolen bezittingen niet terug. Het beveiligt ook geen wallet waarvan de sleutels zijn uitgelekt.

Als de instellingen voor walletbeheer zijn gewijzigd

Gebruik de officiële herstelprocedure of machtigingenbeheer van de wallet om ongeautoriseerde eigenaren, modules, ondertekeningssleutels of delegaties te verwijderen. Als de sleutel van een eigenaar is uitgelekt, vervang die ondertekenaar dan als de wallet dit ondersteunt. Vraag aanbiederspecifiek advies voordat je ervan uitgaat dat het account weer veilig is.

Als iemand toegang heeft gekregen tot een exchangeaccount

Vergrendel het account of beperk opnames via de officiële procedure van de aanbieder. Beveilig vanaf een vertrouwd apparaat je e-mail, wijzig getroffen wachtwoorden, verwijder onbekende sessies en controleer herstelgegevens en tweefactorauthenticatie.

Bewaar bewijs en meld het verlies

Bewaar transactiehashes, openbare adressen, tijdstempels, verdachte URL's en relevante berichten terwijl je de overgebleven bezittingen beschermt. Meld het incident bij de walletaanbieder of exchange en bij de bevoegde autoriteiten.

Bevestigde blockchainoverboekingen kunnen doorgaans niet door walletondersteuning worden teruggedraaid. Terugkrijgen van bezittingen kan afhangen van een exchange die tegoeden bevriest, een onderzoek of vrijwillige teruggave. Wees op je hoede voor iedereen die gegarandeerd herstel belooft, zeker als er vooraf betaald moet worden of om je herstelzin wordt gevraagd.