Wat is social engineering in crypto en hoe kun je het herkennen?

Social engineering is belangrijk om te herkennen omdat één overtuigend bericht, één verkeerd bestand of één ondoordachte bevestiging genoeg kan zijn om toegang te geven tot gevoelige systemen of crypto.

Hoe groot de gevolgen kunnen zijn, is op dit moment goed te zien bij Binance. Op 29 oktober 2026 werd voor miljarden dollars aan crypto uit wallets van de exchange verplaatst. Binance onderzoekt het incident nog en zegt dat een gecompromitteerde laptop van een DevOps-engineer mogelijk het eerste toegangspunt was. Volgens Binance kon de aanvaller via die laptop toegang krijgen tot een servicecontainer en ongeautoriseerde opnames indienen.

De totale impact wordt door Binance momenteel geschat op ongeveer 6,3 miljard dollar. Ongeveer 3 miljard dollar aan getroffen crypto is volgens de exchange inmiddels on-chain bevroren. Binance zegt geen bewijs te hebben gevonden dat private keys van wallets zijn gelekt en stelt alle verliezen te zullen dekken met het SAFU-fonds en eigen bedrijfsfondsen. Stortingen werken inmiddels weer normaal, terwijl opnames op het moment van schrijven nog zijn gepauzeerd vanwege aanpassingen aan de withdrawal-infrastructuur.

Hoe de laptop precies is gecompromitteerd, is nog niet bekend. Er is dus nog geen bevestiging dat phishing, een nepvacature of een andere vorm van social engineering de aanval heeft veroorzaakt. Wel laat het incident zien waarom aanvallers zich vaak richten op mensen en apparaten met veel toegangsrechten. Eén gecompromitteerd account of apparaat kan toegang geven tot veel belangrijkere systemen.

Dat is precies waar social engineering om draait: niet per se het rechtstreeks kraken van technische beveiliging, maar het misleiden van een persoon zodat die onbewust toegang geeft, informatie deelt of een schadelijke actie uitvoert.

Korte samenvatting

• Social engineering draait om het misleiden van mensen zodat ze zelf informatie delen of een schadelijke actie uitvoeren.
• Aanvallers proberen bijvoorbeeld inloggegevens, verificatiecodes, seed phrases of private keys te bemachtigen.
• Ook een schadelijke transactie of token approval kan financiële schade veroorzaken zonder dat een aanvaller je seed phrase kent.
• De lopende Binance-hack laat zien hoe groot de gevolgen kunnen zijn wanneer een apparaat of account met veel toegangsrechten wordt gecompromitteerd.

Wat is social engineering in crypto?

Social engineering in crypto is het manipuleren van mensen zodat ze zelf gevoelige informatie delen of een schadelijke actie uitvoeren. De aanvaller hoeft dus niet altijd technisch in te breken. Vaak probeert die je juist te overtuigen om zelf een link te openen, een code door te geven, crypto te versturen of een walletverzoek te bevestigen.

Denk aan een nepbericht van een crypto exchange, iemand die zich voordoet als medewerker van een crypto wallet of iemand die zich voordoet als een vriend. Het doel kan zijn om je inloggegevens, eenmalige verificatiecode, seed phrase of private key te krijgen. Een aanvaller kan je ook proberen te verleiden om een schadelijke transactie te ondertekenen of toestemming te geven om tokens uit je wallet te verplaatsen.

Phishing is een bekende vorm van social engineering. Daarbij word je bijvoorbeeld naar een nagemaakte website gelokt waarop je wordt gevraagd inloggegevens of andere gevoelige informatie in te vullen. Bij self-custody is dat extra risicovol. Wie jouw seed phrase of private key heeft, kan daarmee in de praktijk de crypto in die wallet beheren.

Een aanvaller heeft je seed phrase echter niet altijd nodig om schade aan te richten. Bij een schadelijke token approval geef je bijvoorbeeld een dApp of smart contract toestemming om bepaalde tokens uit je wallet te verplaatsen. Als je zo'n toestemming geeft aan een kwaadaardige partij, kunnen die tokens mogelijk uit je wallet worden gehaald.

Hoe werkt social engineering in crypto?

Social engineering werkt door een geloofwaardig verhaal te combineren met een actie die de aanvaller van je wil. Die actie kan onschuldig lijken, zoals een link openen of een bestand bekijken, maar uiteindelijk toegang geven tot gegevens, accounts of crypto.

De eerste stap is meestal contact leggen. Dat kan via e-mail, sms, telefoon, sociale media, een nagemaakte website of zelfs een vacature. Daarna probeert de aanvaller vertrouwen op te bouwen of tijdsdruk te creëren. Vervolgens komt het echte verzoek, bijvoorbeeld om software te openen, een verificatiecode door te geven, crypto te versturen of een transactie in je wallet te ondertekenen.

Een aanval kan zich ook richten op medewerkers van cryptobedrijven. Bij de DMM-diefstal in 2024 deed een aanvaller zich bijvoorbeeld voor als recruiter en wist die via een kwaadaardige sollicitatietest toegang te krijgen tot systemen van een bedrijf dat met DMM Bitcoin samenwerkte. De volledige aanval wordt verderop als voorbeeld besproken.

Het principe blijft hetzelfde: de aanvaller probeert niet alleen technische beveiliging te omzeilen, maar overtuigt eerst een persoon om iets te doen waardoor toegang ontstaat.

Welke vormen van social engineering komen vaak voor?

Verschillende vormen van social engineering kunnen in dezelfde aanval worden gecombineerd. Iemand die zich voordoet als medewerker van een exchange kan je bijvoorbeeld eerst bellen, daarna een link sturen en je vervolgens vragen een walletverzoek te bevestigen.

• Phishing: een nepbericht, vaak via e-mail, met bijvoorbeeld een link naar een valse inlogpagina.
• Smishing: phishing via sms of chatapps zoals WhatsApp en Telegram.
• Vishing: misleiding via de telefoon, bijvoorbeeld door iemand die zich voordoet als klantenservice.
• Impersonatie: iemand doet zich voor als een crypto exchange, walletprovider, overheid, werkgever, bekende persoon of influencer.
• Investment- en romancefraude: een aanvaller bouwt gedurende langere tijd vertrouwen op en probeert je daarna geld of crypto te laten investeren via een nepplatform.
• Airdrop- en approval phishing: een aanbieding van gratis tokens lokt je naar een nep-dApp of probeert je een schadelijke transactie of token approval te laten ondertekenen.
• Recruitment scams: een nepvacature, programmeeropdracht of sollicitatietest wordt gebruikt om malware te verspreiden, gegevens te stelen of toegang tot een account te krijgen.

Gratis crypto klinkt aantrekkelijk. Juist een onverwachte airdrop of exclusieve claimlink is daarom een moment om extra kritisch te controleren wie de afzender is en naar welke website je wordt gestuurd.

Hoe worden vertrouwen en urgentie misbruikt?

Aanvallers proberen vaak eerst vertrouwen te winnen door zich voor te doen als iemand die je kent of als een organisatie die betrouwbaar klinkt. Denk aan de klantenservice van een crypto exchange, je bank, een werkgever, een vriend of iemand met wie je online een relatie hebt opgebouwd.

Daarna volgt vaak tijdsdruk. Je krijgt bijvoorbeeld te horen dat je account wordt geblokkeerd, dat er fraude is gedetecteerd of dat je je crypto onmiddellijk naar een andere wallet moet verplaatsen. Het doel is dat je snel handelt voordat je controleert of het verhaal klopt.

Bij crypto gaat die druk vaak samen met een verzoek om crypto naar een zogenaamd veilige wallet te sturen, een QR-code te scannen, een verificatiecode door te geven of direct een transactie te ondertekenen. Ook gegarandeerd rendement, gratis crypto en uitzonderlijk hoge winstclaims zijn duidelijke waarschuwingssignalen.

Een urgent bericht is niet automatisch fraude. Maar tijdsdruk in combinatie met een verzoek om wachtwoorden, verificatiecodes, seed phrases, private keys, crypto of een walletbevestiging is een sterk alarmsignaal.

Bekende voorbeelden van social engineering in crypto

Bekende aanvallen laten zien dat social engineering veel verder kan gaan dan simpele spam of een neppe e-mail. Soms richt een aanvaller zich maandenlang op medewerkers van een cryptobedrijf om uiteindelijk toegang te krijgen tot interne systemen.

Een duidelijk voorbeeld is de DMM-diefstal in 2024. Een aanvaller deed zich op LinkedIn voor als recruiter en benaderde een medewerker van Ginco, een bedrijf dat software voor zakelijke crypto wallets ontwikkelt. De medewerker kreeg een kwaadaardig Python-script toegestuurd dat werd gepresenteerd als onderdeel van een sollicitatietest.

Nadat de aanvallers toegang hadden gekregen tot sessiegegevens van de medewerker, konden ze volgens de FBI binnendringen in het communicatiesysteem van Ginco. Die toegang werd waarschijnlijk gebruikt om een legitiem transactieverzoek van DMM Bitcoin te manipuleren. Uiteindelijk werd 4.502,9 BTC gestolen, destijds ongeveer 308 miljoen dollar waard. De FBI schreef de aanval toe aan TraderTraitor, een Noord-Koreaanse hackgroep.

Een ander veelvoorkomend patroon is approval phishing. Daarbij onderteken je zelf een blockchain-transactie waarmee een aanvallersadres of schadelijk smart contract toestemming krijgt om bepaalde tokens uit je crypto wallet te verplaatsen. De transactie kan technisch volledig geldig zijn, terwijl je als gebruiker denkt dat je iets anders bevestigt.

Voorbeeld: Je ziet een aanbieding voor gratis tokens en koppelt je crypto wallet aan een website. Daarna verschijnt een verzoek om iets te bevestigen. Het lijkt alsof je alleen de claim voor de gratis tokens activeert, maar in werkelijkheid kun je toestemming geven om bestaande tokens uit je wallet te verplaatsen.

Daarom is het niet genoeg om alleen te controleren of een website er betrouwbaar uitziet. Kijk ook altijd goed welke transactie of toestemming je crypto wallet precies toont voordat je bevestigt.

De lopende Binance-hack van oktober 2026

Een zeer recent voorbeeld van hoe groot de gevolgen van één gecompromitteerd apparaat kunnen zijn, is de hack bij Binance die op 29 oktober 2026 bekend werd. Bij het incident werd voor miljarden dollars aan crypto uit wallets van de exchange verplaatst.

Binance onderzoekt de aanval nog. Volgens de eerste resultaten van het onderzoek wijst het op een gecompromitteerde laptop van een DevOps-engineer als mogelijk toegangspunt. Via die laptop kon een aanvaller mogelijk toegang krijgen tot een servicecontainer en ongeautoriseerde opname-transacties indienen.

Binance schat de totale impact momenteel op ongeveer 6,3 miljard dollar. Ongeveer 3 miljard dollar aan getroffen crypto is volgens de exchange inmiddels on-chain bevroren met hulp van andere partijen in de cryptosector.

Binance zegt op dit moment geen bewijs te hebben gevonden dat de private keys van zijn wallets zelf zijn gelekt. Het bedrijf stelt dat klantgelden veilig zijn en dat alle verliezen worden gedekt met het SAFU-fonds en eigen bedrijfsfondsen.

Wie precies achter de aanval zit, is nog niet definitief vastgesteld door Binance. Blockchain-intelligencebedrijven zoals TRM Labs zien wel sterke aanwijzingen voor betrokkenheid van TraderTraitor, een Noord-Koreaanse hackgroep die ook met eerdere grote cryptodiefstallen in verband is gebracht.

Ook is nog niet bekend hoe de laptop van de DevOps-engineer precies is gecompromitteerd. Er is daarom op 30 oktober 2026 nog geen bevestiging dat phishing, een nepvacature of een andere vorm van social engineering de eerste stap van de aanval was.

Hoewel social engineering dus nog niet als oorzaak is bevestigd, is de zaak wel relevant. Het mogelijke toegangspunt is een apparaat van een medewerker met technische toegangsrechten. Als een aanvaller zo'n apparaat of account weet over te nemen, kan dat uiteindelijk toegang geven tot veel belangrijkere systemen.

De situatie is nog in ontwikkeling. Binance heeft aangekondigd een uitgebreid technisch onderzoeksrapport te publiceren zodra het onderzoek is afgerond. Stortingen werken inmiddels weer normaal, terwijl opnames op het moment van schrijven nog zijn gepauzeerd vanwege aanpassingen aan de withdrawal-infrastructuur.

Waarom zijn crypto-gebruikers kwetsbaar voor social engineering?

Crypto-gebruikers zijn kwetsbaar voor social engineering omdat één verkeerde actie soms direct financiële gevolgen heeft. Wie bij self-custody jouw seed phrase of private key krijgt, kan de crypto in die wallet beheren. En als je zelf een crypto-overboeking of schadelijke approval bevestigt, is die actie op de blockchain meestal niet zomaar terug te draaien.

Bij traditionele financiële diensten bestaan soms extra controles waarmee verdachte betalingen kunnen worden tegengehouden of onderzocht. Bij een self-custody-transactie op de blockchain is er meestal geen centrale partij die jouw transactie achteraf kan terugdraaien. Een aanvaller hoeft je daarom soms maar één keer te overtuigen om de verkeerde actie te bevestigen.

Web3 maakt dit soms extra lastig. Legitieme dApps vragen regelmatig om een walletverbinding, signature of token approval. Een kwaadwillend verzoek kan daardoor lijken op iets wat je normaal ook ziet. Een wallet verbinden is echter iets anders dan een bericht signeren, en een signature is weer iets anders dan een token approval of transactie bevestigen.

Ook na een eerste verlies blijven slachtoffers een doelwit. Zogenaamde recovery services kunnen bijvoorbeeld beloven gestolen crypto terug te halen en vervolgens vooraf betaling vragen. Dit kan een nieuwe vorm van fraude zijn.

Hoe herken je een social-engineeringaanval?

Je herkent een social-engineeringaanval vooral aan de combinatie van onverwacht contact, een identiteitsclaim, tijdsdruk en een verzoek om iets te doen. Kijk dus niet alleen naar één zin, profielfoto of logo, maar naar het hele verzoek.

Behandel een onverwacht verzoek om crypto te sturen, een crypto wallet te koppelen, een QR-code te scannen, een seed phrase te delen of een verificatiecode door te geven altijd als verdacht. Hetzelfde geldt voor beloften van gegarandeerd rendement, snel risicoloos geld, gratis crypto of een exclusieve investeringskans.

Let bij Web3 ook goed op het soort verzoek dat je crypto wallet toont. Een wallet verbinden, een bericht signeren, crypto versturen en een token approval geven zijn verschillende acties. Een approval kan een smart contract bijvoorbeeld toestemming geven om bepaalde tokens uit je wallet te verplaatsen.

Controleer een claim altijd buiten het ontvangen bericht om. Open dus niet zomaar de meegestuurde link, maar ga zelf naar de officiële app of website.

Welke signalen wijzen op een verdachte boodschap?

Een verdacht bericht heeft vaak één of meer van deze signalen:

• Je krijgt onverwacht contact met een verzoek om geld, crypto, gegevens, inloggegevens of een transactie.
• Er wordt druk gezet met bijvoorbeeld: "Je account wordt nu gesloten" of "Handel binnen tien minuten".
• Je moet crypto naar een zogenaamd veilige wallet sturen.
• Je wordt gevraagd een QR-code te scannen om te betalen of je account te beveiligen.
• De link of domeinnaam wijkt subtiel af van de officiële schrijfwijze.
• Je moet software installeren, een bijlage openen of code uitvoeren.
• Je crypto wallet toont een onbekend contractadres, een onduidelijk signing request of een uitzonderlijk hoge of onbeperkte allowance.
• Een gratis airdropclaim komt uit het niets.

Spel- of grammaticafouten kunnen een aanwijzing zijn, maar zijn geen betrouwbare test. Veel aanvallers gebruiken inmiddels overtuigende teksten en professioneel ogende websites.

Hoe controleer je de identiteit van een contactpersoon?

Controleer de identiteit via een kanaal dat je zelf hebt opgezocht, nooit via een link, QR-code of telefoonnummer uit het verdachte bericht.

Je kunt dit stap voor stap aanpakken:

1. Stop met reageren. Klik niet verder en geef geen codes of gegevens door. Zo voorkom je dat je onder druk iets bevestigt.

2. Zoek zelf het officiële kanaal op. Open de app die je al gebruikt of typ zelf het officiële webadres in. Neem daarna via het officiële supportkanaal contact op.

3. Controleer de volledige domeinnaam. Een bekende merknaam in een bericht zegt weinig. Kijk naar het hele webadres, want aanvallers gebruiken vaak domeinen die sterk lijken op het echte adres.

4. Bel een bekende zelf terug. Krijg je een dringend verzoek van een vriend of collega? Bel dan zelf een opgeslagen nummer dat je al kende, in plaats van alleen in dezelfde chat te reageren.

5. Deel nooit geheime gegevens als controle. Een echte supportmedewerker heeft jouw seed phrase, private key of wachtwoord niet nodig om je identiteit te controleren. Wees ook zeer terughoudend met verificatiecodes.

Een verified badge op sociale media of een veiligheidswaarschuwing in een crypto wallet kan nuttig zijn, maar is geen garantie dat iemand of iets veilig is.

Hoe kun je jezelf beschermen tegen social engineering in crypto?

Je beschermt jezelf het best door bij ieder onverwacht verzoek eerst te controleren wie er contact met je opneemt en wat je precies wordt gevraagd te doen. Maak daar een vaste gewoonte van voordat je crypto verstuurt, een wallet koppelt, iets ondertekent of een token approval bevestigt.

Ga naar crypto exchanges, crypto wallets en dApps via een zelf opgeslagen of zelf gecontroleerd officieel adres. Gebruik niet zomaar advertenties, DM's of onverwachte links als ingang.

Controleer bij elke transactie het netwerk, ontvangstadres, bedrag en het soort actie dat je uitvoert. Bij een token approval kijk je ook welke partij toestemming krijgt en hoeveel tokens die mag gebruiken. Beperk allowances waar dat mogelijk is en controleer oude approvals regelmatig. Alleen een dApp loskoppelen trekt een bestaande approval niet automatisch in.

Gebruik daarnaast unieke en sterke wachtwoorden voor je accounts en beveilig vooral het e-mailadres dat aan je exchange-account gekoppeld is. Schakel waar mogelijk multi-factor authentication in voor e-mail, exchange-accounts en andere belangrijke accounts.

MFA maakt accountovername moeilijker als een wachtwoord wordt gestolen. Een passkey of FIDO-beveiligingssleutel is waar beschikbaar beter bestand tegen phishing dan een handmatig ingevoerde verificatiecode. Maar ook sterke accountbeveiliging voorkomt niet dat je zelf een seed phrase deelt of een schadelijke blockchain-transactie ondertekent.

Waarom moet je seed phrases en private keys geheimhouden?

Je seed phrase en private key moet je geheimhouden omdat ze toegang kunnen geven tot de crypto in je wallet. Een seed phrase bestaat vaak uit 12 tot 24 woorden en kan worden gebruikt om toegang tot een wallet te herstellen. Met die woorden of met je private key kan iemand jouw wallet beheren en crypto versturen.

Een seed phrase heb je normaal alleen nodig bij het aanmaken of herstellen van je eigen wallet. Niet omdat een supportmedewerker erom vraagt, niet voor een giveaway en ook niet om een wallet te "valideren".

Deel deze gegevens daarom nooit via chat, e-mail, screenshots, cloudnotities of een online formulier. Bewaar ze offline en op een plek waar anderen er niet bij kunnen.

Een hardware wallet bewaart je private keys offline en vereist meestal een fysieke bevestiging voordat je een transactie uitvoert. Dat biedt extra bescherming tegen bepaalde vormen van malware en accountovername. Toch kan een hardware wallet niet voorkomen dat je zelf een schadelijke transactie goedkeurt.

Hoe gebruik je transactieverificatie en multi-factor authentication?

Gebruik transactieverificatie door ieder walletverzoek te lezen voordat je op bevestigen drukt. Controleer het netwerk, het ontvangstadres, het bedrag en vooral wat voor actie je uitvoert: verbinden, signeren, versturen of een token approval geven.

Bij een token approval geef je een dApp of smart contract toestemming om een bepaald token tot een bepaalde limiet namens jouw wallet te verplaatsen. Een onbeperkte allowance kan de schade vergroten als je die toestemming aan een schadelijke of gecompromitteerde partij hebt gegeven. Kies daarom waar mogelijk een limiet die past bij wat je daadwerkelijk wilt doen.

Walletwaarschuwingen en transactiesimulatie kunnen verdachte domeinen, adressen of transactiegegevens signaleren. Zie ze als een extra controlelaag. Een technisch geldige transactie kan nog steeds schadelijk zijn als die niet overeenkomt met wat jij wilde doen.

Schakel MFA in voor je e-mail en crypto exchange-account. Two-factor authentication, of 2FA, is een vorm van MFA waarbij twee verschillende authenticatiefactoren worden gebruikt. Een extra verificatiestap helpt tegen accountovername, maar handmatig ingevoerde one-time codes kunnen nog steeds via phishing worden onderschept. Kies daarom waar mogelijk voor een phishing-resistente methode zoals een passkey of FIDO-beveiligingssleutel.

Wat kun je doen na een social-engineeringaanval?

Stop direct met reageren op de aanvaller en handel zo snel mogelijk via veilige kanalen die je zelf hebt gecontroleerd. Gebruik geen links, telefoonnummers of recovery-aanbiedingen uit berichten van de aanvaller.

Pak het stap voor stap aan:

1. Verbreek het contact: Reageer niet meer, klik nergens op en geef geen extra informatie.

2. Beveilig je accounts: Wijzig gecompromitteerde wachtwoorden, beveilig je e-mailaccount en vervang of versterk je MFA als dat nodig is.

3. Neem contact op met de betrokken partij: Benader de crypto exchange, walletprovider of andere accountprovider via een officieel kanaal dat je zelf hebt opgezocht.

4. Controleer token approvals: Heb je een verdacht walletverzoek bevestigd? Kijk dan of je bestaande allowances kunt intrekken. Een dApp loskoppelen is niet genoeg om een bestaande token approval te verwijderen.

5. Bewaar bewijs: Maak screenshots en noteer berichten, domeinen, telefoonnummers, profielen, walletadressen, bedragen, datum, tijd en transaction hashes.

6. Meld de fraude en doe aangifte: Walletadressen en transactiegegevens kunnen belangrijk bewijs zijn, ook als de diefstal al heeft plaatsgevonden.

Wees daarna extra alert op recovery scams. Iemand die belooft jouw verloren crypto terug te halen en vooraf betaling vraagt, kan proberen opnieuw misbruik van je te maken. Het intrekken van een approval kan toekomstig misbruik van die toestemming beperken, maar draait een al uitgevoerde blockchain-transactie niet terug.

Conclusie

Social engineering in crypto draait uiteindelijk om één ding: iemand probeert jou een actie te laten uitvoeren die je normaal niet zou doen. Dat kan het delen van een seed phrase zijn, crypto versturen, een code doorgeven of een walletverzoek bevestigen dat je niet goed begrijpt.

De beste verdediging is niet alleen technische beveiliging, maar ook controleren voordat je handelt. Verifieer contactpersonen via een onafhankelijk kanaal, gebruik sterke accountbeveiliging en lees ieder transactieverzoek voordat je bevestigt.

Vooral bij seed phrases, private keys en token approvals geldt: als je niet begrijpt welke toegang of toestemming je geeft, bevestig het verzoek dan niet.