6,5 miljard dollar in oktober: de infrastructuur faalde, niet de code

In oktober 2026 is de cryptomarkt bijna 6,5 miljard dollar kwijtgeraakt, en vrijwel alles vloeide weg via overgenomen infrastructuur: via computers van medewerkers, ondertekeningssystemen, buildprocessen en websites. Maar een klein deel van de schade komt van fouten in smart contracts, dus van het deel van de techniek waarover de sector al jaren discussieert en waarvoor zij auditrapporten betaalt. Voor een belegger betekent dat één ding: een project met een schoon auditrapport kan je geld alsnog verliezen als de toegang tot zijn servers openstaat.

Deze telling heeft cryptoticker.io op 30 oktober 2026 zelf gemaakt. De basis is het openbare hackregister van DefiLlama, dat elk gemeld incident bijhoudt met datum, schadebedrag en aanvalsroute. Geteld zijn alle 32 vermeldingen met een datum tussen 1 en 30 oktober 2026.

6,46 van de 6,50 miljard dollar: zeven incidenten dragen bijna de hele schade

De 32 incidenten van de maand tellen op tot 6,495 miljard dollar. Daarvan komt 6,461 miljard dollar op zeven vermeldingen die het register onder frontend en infrastructuur plaatst. Dat is 99,5 procent van de som bij 22 procent van de gevallen.

De tegenrekening maakt het beeld scherper. Alle categorieën waarin de programmalogica van een contract daadwerkelijk faalde of werd misbruikt, komen samen op minder dan 16 miljoen dollar: foutieve aandeelberekeningen in tien gevallen (5,1 miljoen), governance-aanvallen in drie gevallen (4,8 miljoen), twee brugincidenten (4,6 miljoen), één manipulatie van een prijsorakel (1,3 miljoen) en elk één geval van ontbrekende invoercontrole en foutieve uitbetalingslogica. Nog vier incidenten lopen onder overgenomen sleutels en kostten 17,3 miljoen dollar, de grootste daarvan 16 miljoen bij de Indiase beurs CoinDCX op 21 oktober.

Frontend en infrastructuur: wat deze categorie onderscheidt van een smart-contractfout

Een smart-contractfout is een fout in programmacode die op de blockchain staat. Hij is openbaar leesbaar, hij laat zich controleren, en wie hem vindt, kan hem misbruiken tot het contract wordt vervangen.

Een infrastructuuraanval richt zich op alles wat om die code heen staat: de computer van een ontwikkelaar, de server die uitbetalingen in gang zet, de softwarebibliotheek waaruit een website wordt gebouwd, het systeem dat transacties ondertekent. De code op de blockchain blijft daarbij onveranderd. Hij voert alleen uit wat een aanvaller hem opdraagt vanuit een positie die het systeem als bevoegd beschouwt.

Dat is het beslissende verschil voor je beoordeling van een aanbieder: in het eerste geval helpt een auditrapport. In het tweede telt hoe een bedrijf zijn interne toegangen, zijn goedkeuringsprocessen en zijn leveranciers in de hand heeft, en dat staat in geen enkel openbaar document.

Het Binance-incident van 29 oktober: 6,3 tot 6,36 miljard dollar via het ondertekeningssysteem

De grootste afzonderlijke post van de maand is de aanval op Binance op de avond van 29 oktober. Het hackregister noemt 6,36 miljard dollar, Binance becijfert het effect zelf op ongeveer 6,3 miljard dollar, en analysebedrijf Chainalysis komt volgens mediaberichten op 5,9 miljard. De middelen verlieten de wallets van de beurs binnen ongeveer 20 minuten, verspreid over tien blockchains.

Over de oorzaak heeft Binance een voorlopige bevinding gepubliceerd: via de overgenomen computer van een DevOps-medewerker zou een aanvaller toegang hebben gekregen tot een servicecontainer en van daaruit niet-geautoriseerde uitbetalingen in gang hebben gezet. Een lek van private walletsleutels heeft zich tot nu toe niet laten aantonen, meldde het bedrijf; het onderzoek naar de volledige aanvalsroute loopt nog. Hoe de computer werd overgenomen en hoe lang de toegang bestond, is open. De beurs heeft toegezegd alle verliezen via haar reservefonds en eigen middelen te dragen, heeft opnames tijdelijk stilgelegd en de opnamedienst verbouwd. Bevroren is volgens het bedrijf ongeveer 3 miljard dollar, waarvan 2,54 miljard het laatst als geverifieerd was bevestigd. De technische reconstructie van de ondertekeningen heeft cryptoticker.io in detail natekend.

Beveiligingsbedrijf TRM Labs schrijft de aanval naar eigen zeggen met hoge zekerheid toe aan de aan Noord-Korea verbonden groep TraderTraitor. Dat is de inschatting van een particulier analysehuis, geen vaststelling van een autoriteit; een bevestiging van een overheid is er tot nu toe niet.

Aanval op de toeleveringsketen: 93 miljoen dollar via een bewerkte softwarebibliotheek

Een aanval op de toeleveringsketen schuift schadelijke code in een onderdeel dat veel aanbieders samen gebruiken, en bereikt zo al hun gebruikers in één keer. De tweede grootste post van de maand valt in deze categorie: op 9 oktober vloeide 93 miljoen dollar weg via een aanval die aan walletfabrikant Ledger wordt toegerekend. Wat daar gebeurde en welke gebruikers het raakte, heeft cryptoticker.io op het moment van het incident opgeschreven.

Hetzelfde patroon duikt die maand nog drie keer lager in de lijst op: bij handelsbot Bloom op 26 oktober met 953.000 dollar, bij voorspellingsplatform Polymarket op 29 oktober met 2,7 miljoen dollar volgens het register en 3,0 tot 3,1 miljoen volgens mediaberichten, en bij Predict Fun op 27 oktober met 400.000 dollar. Bij gokplatform Gamdom ging op 13 oktober 4,2 miljoen dollar verloren via een sleutel die langs de infrastructuur wegvloeide.

Eén punt daarvan is voor jou praktisch belangrijk: bij een frontend-aanval ziet de website eruit als altijd. Het adres in de browserbalk klopt, het certificaat klopt, en de pagina staat op de juiste server. Veranderd is alleen wat de pagina aan je wallet ter ondertekening voorlegt.

Smart-contractaudits dekken de code, niet de buildpijplijn

Een audit controleert wat een contract doet als het onveranderd op de blockchain draait. De buildpijplijn, dus de weg van de broncode van een website of app tot de versie die bij jou in de browser aankomt, staat buiten dat kader. Net zo min horen de computer van een medewerker, het rechtenbeheer binnen het bedrijf of het ondertekeningssysteem van een beurs erbij.

De oktobercijfers zeggen daarom niet dat audits nutteloos zijn. De bevinding is een andere: het auditlabel op een projectpagina geeft je over de grootste schadebron van de maand geen uitsluitsel. Wie uit die 99,5 procent een conclusie trekt voor zijn eigen bewaring, komt niet uit bij een beter contract, maar bij de vraag hoeveel vreemde infrastructuur hij zijn saldo eigenlijk blootstelt. Een overzicht van apparaten waarmee sleutels het eigen huis niet verlaten, vind je in de vergelijking van hardware wallets.

MiCA: wat een beurs voor de bewaring moet regelen

Sinds het Europese rechtskader MiCA van kracht is, hebben aanbieders die klantgeld in cryptobezittingen bewaren een vergunning nodig en moeten zij klantposities gescheiden houden van eigen middelen. Dat verhindert geen aanval. Het bepaalt wel wie bij schade aansprakelijk is, wie zich tegenover de toezichthouder moet verantwoorden en welke meldplichten na een beveiligingsincident gelden. In Nederland houdt de AFM daar toezicht op.

Eén belangrijk verschil met een bankrekening blijft: voor cryptosaldo bestaat geen wettelijk depositogarantiestelsel. Reservefondsen zoals dat van Binance zijn vrijwillige toezeggingen van een bedrijf, geen garantie van de staat. Of een platform onder toezicht werkt, kun je voor het storten nagaan; welke aanbieders met een Europese vergunning werken, laat onze vergelijking van aanbieders zien.

Blind ondertekenen: de hardware wallet toont wat de app verzwijgt

Blind ondertekenen betekent een transactie bevestigen waarvan het apparaat de inhoud niet in leesbare tekst toont. Precies hier grijpt een frontend-aanval aan: de bewerkte interface laat je een onschuldige handeling zien, terwijl de gegevens die ter ondertekening worden voorgelegd iets anders bewerkstelligen.

Een hardware wallet helpt tegen deze aanval alleen als je het scherm van het apparaat werkelijk leest en vergelijkt met wat de website beweert: ontvangeradres, bedrag en soort handeling. Wijkt een daarvan af, dan breek je af. Het apparaat is daarbij het tweede, onafhankelijke scherm; zijn waarde zit niet in het bezit, maar in het kijken.

Tokengoedkeuringen: de hefboom die een aanvaller het langst houdt

Een tokengoedkeuring, in het Engels approval, staat een smart contract toe een bepaalde hoeveelheid van je tokens te verplaatsen. Veel toepassingen vragen om een onbeperkte goedkeuring, omdat dat gemakkelijk is en kosten spaart. Die toestemming blijft bestaan tot je haar intrekt, en ze werkt ook nog als je de toepassing al lang niet meer gebruikt.

Neemt iemand de frontend over van een toepassing waarmee je een open goedkeuring hebt, dan heeft hij je sleutel niet nodig. Daarom hoort de lijst van afgegeven goedkeuringen bij de weinige dingen die je zonder vakkennis zelf kunt nakijken en inkorten. Zinvol is goedkeuringen te beperken tot het bedrag dat een handeling werkelijk nodig heeft, en oude goedkeuringen regelmatig in te trekken.

Marktreactie: de koers laat de schade maar gedempt zien

Op de koers sloeg de grootste diefstal uit de geschiedenis van de sector betrekkelijk terughoudend door. Bitcoin stond op de ochtend van 30 oktober op ongeveer 77.800 dollar en lag daarmee 2,5 procent onder de stand van 24 uur eerder, ether met ongeveer 2.222 dollar zo'n 3,9 procent daaronder. Een deel van de verklaring zit in de bevroren middelen: stablecoin-uitgevers kunnen saldo op afroep blokkeren, en miljarden die nooit worden verkocht, leveren ook geen verkoopdruk op.

De tweede helft van de verklaring is ongemakkelijker. Als een incident van deze omvang de markt nauwelijks beweegt, ontbreekt platformen de directe financiële prikkel om hun interne toegangen duur te beveiligen. Een bewijs daarvoor ontbreekt; het is een inschatting, geen aangetoond feit.

Wat er in november van de oktobercijfers overblijft

Het register vermeldt zeven infrastructuurincidenten in één maand, en meerdere daarvan raakten platforms die ook in Europa worden geadverteerd. Een herhaling is niet aangekondigd en niet uitgesloten. Wat zich vandaag wel laat beslissen, is de vraag hoeveel van je bezit eigenlijk op een platform staat waarvan je het binnenwerk niet kunt inzien.

Een vuistregel uit de cijfers: saldo waarin je de komende weken wilt handelen, hoort op een beurs met een vergunning. Saldo dat je langer houdt, hoort daar waar geen vreemde servicecontainer een uitbetaling in gang kan zetten.

Crypto-hacks: 99 procent van de schade liep via de infrastructuur

1. Verdeel je bezit. Bepaal welk deel op de beurs blijft en welk deel naar eigen bewaring gaat. Voor het tweede deel geeft de vergelijking van hardware wallets de keuze aan apparaten.
2. Controleer de vergunning van het platform. Kijk na of je aanbieder met een Europese vergunning werkt en klantposities gescheiden houdt; de vergelijking van aanbieders plaatst de grote namen.
3. Kort je goedkeuringen in. Loop de afgegeven tokengoedkeuringen van je wallet door, trek oude in en beperk nieuwe tot het nodige bedrag.

De ruwe gegevens van deze telling staan in het openbare hackregister van DefiLlama; de toeschrijving van de Binance-aanval komt uit de analyse van TRM Labs.

(Per 30 oktober 2026. Dit artikel is geen beleggingsadvies. Koersen en tarieven veranderen; controleer de voorwaarden bij de aanbieder voordat je koopt.)

Beschermen: crypto veilig bewaren en je wapenen tegen hacks zoals die bij Binance.