Cryptosector verliest 464 miljoen dollar aan hacks in eerste kwartaal 2026
In dit artikel:
Blockchainbeveiligingsbedrijf Hacken rapporteert dat de Web3-sector in Q1 2026 ongeveer 464,5 miljoen dollar verloor door hacks en oplichting. De grootste oorzaak was niet een softwarefout maar menselijke misleiding: phishing en social engineering veroorzaakten ongeveer 306 miljoen dollar aan schade, ruim twee derde van het totaal.
Een enkele aanval in januari op gebruikers van hardware wallets was uitzonderlijk kostbaar: circa 282 miljoen dollar, meer dan de helft van de kwartaalverliezen. Technische zwakheden bleven echter ook relevant: kwetsbaarheden in smart contracts leverden 86,2 miljoen dollar schade op, en problemen met toegangsbeheer (gestolen sleutels, gehackte cloudsystemen) waren goed voor 71,9 miljoen dollar.
Opvallend was dat projecten die meerdere audits hadden doorlopen alsnog werden getroffen. Zes gecontroleerde projecten verloren samen 37,7 miljoen dollar; onder de genoemd slachtoffers waren Truebit (26,4 miljoen door verouderde software), Venus Protocol (getroffen via een al bekende kwetsbaarheid) en Resolv Labs (ong. 25 miljoen door een lek in cloudbeheer). Volgens Hacken biedt een audit geen waterdichte garantie, en kapitaalkrachtige projecten blijken aantrekkelijker voor geavanceerdere aanvallen.
Noord-Koreaanse hackersgroepen blijven een van de grootste dreigingen en gebruiken steeds geraffineerdere tactieken, zoals valse investeringsdeals en gemanipuleerde videogesprekken. Step Finance verloor zo’n 40 miljoen dollar; in 2025 zouden Noord-Koreaanse groepen meer dan 2 miljard dollar hebben buitgemaakt. Ook de hack op DeFi-platform Drift — bijna 300 miljoen dollar door langdurige sociale infiltratie op conferenties — past in dit patroon.
Hoewel het kwartaal in absolute zin minder catastrofaal was dan sommige eerder jaren (er ontbrak een megahack zoals Bybit in 2025), verschuift het risico naar de menselijke en operationele laag: IT-infrastructuur, processen en medewerkers vormen de zwakste schakels. Hacken adviseert snelle detectie en reactie: incidenten binnen 24 uur herkennen, binnen 4 uur analyseren en binnen 30 seconden blokkeren. De markt professionaliseert, maar ook de aanvallers evolueren.