Volgens Chainalysis hebben met Noord-Korea gelinkte hackers dit jaar meer dan $1 miljard aan crypto gestolen. De inbraak bij Bitget van $387,5 miljoen bracht het totaal voorbij de grens, terwijl de totale verliezen door DeFi-exploits blijven dalen, omdat diefstal zich concentreerde in één staatsbediende operatie.
Noord-Korea's cryptodiefstal overschreed $1 miljard. Crypto juichte.
Belangrijkste punten
- Hackers gelinkd aan Noord-Korea hebben meer dan $1 miljard aan crypto gestolen in 2026, na het stelen van $2 miljard in 2025, aldus Chainalysis.
- De inbraak op Bitget op 24 september, $387,5 miljoen en de grootste van het jaar, duwde het lopende totaal voorbij de mark.
- De totale verliezen door DeFi-exploits dalen eigenlijk. Het "goede nieuws" verbergt een consolidatie van diefstal in één staatsgesteunde, geïndustrialiseerde operatie.
- De aanvalsvector is verplaatst van code naar mensen: de Drift Protocol-hack omvatte zes maanden van fysieke infiltratie, geen smart-contractbug.
- THORChain weigerde de gestolen Bitget-fondsen te blokkeren terwijl NEAR Intents $50 miljoen blokkeerde, waardoor DeFi werd gesplitst in twee incompatibele toekomstscenario's.
De hackers van Noord-Korea hebben dit jaar al meer dan $1 miljard aan cryptocurrency gestolen, volgens Chainalysis. Het bedrag dat hen over de streep trok, was de $387,5 miljoen die op 24 september uit de exchange Bitget werd gehaald, de grootste single-hack van 2026. Toch klopte diezelfde week een groot deel van de industrie stilletjes op de schouder, omdat de totale verliezen door DeFi-exploits zijn gedaald.
Beide feiten zijn waar. Dat is het probleem.
Het grotere plaatje: Crypto's amateuruur is voorbij
Het kopje "hack-verliezen daalden" is echt maar misleidend. In het eerste kwartaal van 2026 verloren DeFi-protocollen ongeveer $168 miljoen aan exploits, een daling van ongeveer 90% ten opzichte van de $1,58 miljard die in het eerste kwartaal van 2025 werd gestolen, het kwartaal dat de record $1,4 miljard Bybit-hack omvatte. Naïef gelezen lijkt het alsof crypto eindelijk zijn beveiligingsact op orde heeft.
Wat er eigenlijk gebeurde, is minder flatterend. De script-kiddie- en eenzame-aanvallen die de jaarlijkse statistieken vroeger opvroegen, de bugs in leningsprotocollen ter waarde van $150.000, de fouten in de quote-logica ter waarde van $80.000, zijn grotendeels verdwenen. In hun plaats staat een enkele, door de staat gefinancierde operatie die betrouwbaar negen cijfers per keer aftapt. De diefstallen zijn niet afgenomen. Ze zijn geconsolideerd.
Noord-Korea behandelt cryptodiefstal als een staatsinkomstenlijn. De Verenigde Naties heeft herhaaldelijk geschat dat gestolen cryptocurrency een betekenisvolle schijf van Pyongjangs wapenprogramma's financiert. Dit is geen bende criminelen die per toeval Solidity heeft geleerd. Het is nationaal industrieel beleid, uitgevoerd door eenheden zoals Lazarus en TraderTraitor, met een wervingspijplijn, een trainingscurriculum en een witwaslogistieke keten die de meeste legitieme financiële instellingen schaamrood zou maken.
Denk na over wat "geïndustrialiseerd" hier eigenlijk betekent. De Drift Protocol-aanval in april was geen inbraak; het was een operatie. Aanvallers deden ongeveer zes maanden lang alsof ze een kwantitatieve handelsfirma waren, bezochten conferenties, maakten vrienden met bijdragers in het echt en depositeerden zelfs $1 miljoen van hun eigen kapitaal in een projectkluis om vertrouwen op te bouwen. Vervolgens misbruikten ze het duurzame nonce-mechanisme van Solana om de administratieve macht van de Veiligheidsraad in beslag te nemen. De slimme contracten hielden perfect stand. De mensen niet.
Waarom wint Noord-Korea wanneer hacks "afnemen"?
Het antwoord is dat de industrie optimaliseerde tegen de verkeerde vijand. Tien jaar lang stroomde crypto geld naar codeaudits, bugbounties en formele verificatie, en dat werk was grotendeels succesvol. Het exploiteren van een goed geauditeerd slim contract is vandaag de dag echt moeilijk. Dus de tegenstander veranderde van doelwit.
Ledger's CTO Charles Guillemet trok de lijn expliciet na Drift, en koppelde de methode aan de Bybit-roof: langetermijninfiltratie van de mensen die de sleutels vasthouden, en hen vervolgens overtuigen om kwaadaardige transacties goed te keuren. Het aanvalsoppervlak verplaatste zich omhoog in de stack, van de code naar de mensen die deze exploiteren. Crypto heeft tien jaar lang zijn contracten verhard en vergeten dat de zwakste invoer nog steeds een persoon is.
De Bitget-inbraak, daarentegen, maakte gebruik van een kwetsbaarheid in software van derden om interne inloggegevens te stelen, wat neerkomt op leveranciersrisico, niet op een protocolbug. Mandiant en SlowMist ontwarren nog steeds precies hoe dit is gebeurd. Maar het patroon is consistent: dit zijn aanvallen op de supply chain en social engineering, gericht op operationele mensen, de ene laag die geen enkele auditor ooit heeft goedgekeurd.
Ripple-effecten: de THORChain-contradictie
Het verhaal binnen het verhaal is wat er met het geld gebeurde na Bitget. Binnen drie uur verspreidden de aanvallers $387,5 miljoen over vier netwerken: 49,7% naar Ethereum, 40,8% naar de XRP-ledger, 7,6% naar Zcash en 1,8% naar Tron. Toen deden ze wat de handtekening van Lazarus is geworden: ze lieten de XRP via THORChain lopen, waarbij meer dan 90% ervan werd omgezet in native Bitcoin, zonder ooit een gecentraliseerde exchange aan te raken die hen zou kunnen bevriezen.
Bitget-ceo Gracy Chen vroeg THORChain publiekelijk om de gemarkeerde adressen te blokkeren. "Decentralisatie is een ontwerpprincipe," schreef ze, "geen schild om bekende gestolen fondsen te faciliteren." THORChain weigerde, met de argumentatie dat het "vrijwillig is, net als Bitcoin, Ethereum en BNB Chain," en vroeg zich af welke verantwoordelijkheid die basislagen dragen voor gestolen fondsen die erdoorheen bewegen.
Het antwoord schrijft zich vanzelf. Toen THORChain zelf in mei werd leeggehaald voor $10,7 miljoen, stopte het netwerk binnen enkele uren en bleef vijf weken offline. Toen ThorFi in januari 2025 failliet ging, stemden de nodes in de loop van de nacht om opnames te bevriezen. Zoals OKX-oprichter Star Xu het stelde: een netwerk dat stopt wanneer zijn eigen geld in gevaar is, maar weigert te stoppen wanneer het geld van iemand anders in gevaar is, is niet "zoals Bitcoin." Het maakt een keuze.
Hier is de vork die van belang is voor de hele ecosysteem. NEAR Intents deed het tegenovergestelde van THORChain: het geautomatiseerde SHIELD-systeem blokkeerde ongeveer $50 miljoen aan met Bitget verbonden swaps en weigerde zelfs de 5% beloning die Bitget aanbood. Bitget bedankte hen. Decentralisatie-puristen viel hen aan omdat ze niet vrijwillig genoeg waren. Twee protocollen, twee onverenigbare antwoorden op dezelfde vraag, en elk DeFi-project moet nu een kant kiezen, of het het nu zegt of niet.
Historische context: Het Bybit-handboek, verfijnd
Niets hiervan is nieuw; het is gewoon scherper. In februari 2025 stal Lazarus $1,46 miljard van Bybit en witte ongeveer $1,2 miljard daarvan via THORChain, elf dagen nadat THORChain zijn admin-sleutel had ingetrokken. De dief van de Coldcard gebruikte het. De dief van Bitget gebruikte het. THORChain is voor crypto-witwassen geworden wat Tornado Cash was voor mixer-witwassen, behalve dat de medeoprichter van Tornado Cash werd veroordeeld voor het runnen van een ongelicentieerde geldoverdrachtsinstelling, terwijl THORChain openlijk opereert met een toptoken.
Het verschil tussen toen en nu is schaal en permanentie. Een jaar van $1 miljard was ooit een anomalie die werd gedreven door één catastrofale hack. Nu is het de lopende basislijn, en het jaar is nog niet voorbij. Noord-Korea heeft grootschalige diefstal omgetoverd tot een herhaalbare, kwartaal terugkerende operatie, het dichtst wat crypto heeft bij een vijandige inkomstenabonnement.
De toekomstige lens: waar dit naartoe gaat in 1-3 jaar
Drie trends versnellen zich vanaf hier.
Ten eerste verschuift de knelpunt naar de off-ramp. Als de protocollaire laag niet zal censureren, zullen regelgevers de beurzen, OTC-bureaus en banken die het geconverteerde Bitcoin aanraken onder druk zetten. De Bitcoin-leder blijft transparant, zelfs na conversie, dus handhaving concentreert zich waar fondsen uitstappen in fiat, precies waar onderzoekers altijd het meeste succes hebben gehad.
Ten tweede wordt de NEAR-vs-THORChain-splitsing een regelgevingslijn. Het 2026 DeFi-kader van de Financial Action Task Force zegt al dat slimme contracten niet onder zijn regels vallen, maar identificeerbare personen met "voldoende invloed" op een protocol wel. THORChain's eigen mei-halt bewijst dat het die invloed heeft. Dat is geen juridische vraag meer, het is een vraag van planning.
Ten derde zal het narratief van "afnemende hacks" slecht verouderen. Een enkel goed getimed incident kan 2026 nog steeds een recordjaar maken, omdat de tegenstander nu een herhaalbare operatie uitvoert in plaats van een reeks gelukkige exploits. Het staartrisico werd groter, zelfs terwijl het gemiddelde afnam.
Het perspectief van de handelaar: Het gaat niet om de prijs, maar om de venue en het actief
Dit is geen prijsverhaal, het is een verhaal over tegenpartijrisico. De Bitget-incident is een zuiver natuurlijk experiment dat laat zien wat wel en wat niet wordt bevroren. Circle en Tether bevriezen binnen enkele dagen portemonnees die door de aanvaller zijn gemarkeerd, maar het totaal bedraagt ongeveer $318.000, oftewel 0,08% van de buit. De resterende 88% lag inactief in ETH, XRP en Zcash, waarvan geen enkele door een gecentraliseerde uitgever kan worden bevroren. Aanvallers weten precies welke activa oncensurabel zijn en verdelen hun middelen daarop.
De praktische les is saai maar nuttig: behandel cross-chain liquiditeitsknooppunten, privacy-munten en hot-wallet-opslag als risicovariabelen die door regelgeving onder druk kunnen worden gezet of door een staatsactief kunnen worden gericht, niet alleen als neutrale infrastructuur. Diversifieer over verschillende platforms. Begrijp dat de compliance-positie van een platform, of het ontbreken daarvan, nu een materieel feit is over je blootstelling, of je nu witwas of niet.
Afsluiting
Hier is de vraag die crypto blijft weigeren te beantwoorden. Als een gesanctioneerde, nucleair bewapende staat jouw 'toestemmingsvrije' protocol gebruikt als zijn primaire wasstraat voor geld, en jouw protocol aantoonbaar transacties kan blokkeren wanneer zijn eigen fondsen in gevaar zijn, hoe lang duurt het voordat 'we kunnen niet' stopt als ontwerpphilosofie en begint te worden gelezen als een keuze?
De industrie heeft een decennium lang gedebatteerd dat code wet is. Noord-Korea heeft net bewezen dat de wet een hiat heeft. En dat hiat zijn wij.
Veelgestelde vragen
Hveel crypto heeft Noord-Korea in 2026 gestolen? Meer dan $1 miljard, volgens Chainalysis, na ongeveer $2 miljard in 2025. De inbraak van Bitget ter waarde van $387,5 miljoen in september was het enkele incident dat het totaal van 2026 boven de grens duwde.
Waarom dalen de totale verliescijfers van hacks terwijl diefstal door Noord-Korea stijgt? De verliezen door DeFi-exploits daalden met ongeveer 90% jaar-op-jaar in Q1 2026 omdat hacks door amateurs op kleine schaal afnamen. Diefstal stopte niet, het consolideerde zich in één staatsgestuurde operatie die minder, maar veel grotere aanvallen uitvoerde.
Waarom weigerde THORChain de Bitget-fondsen te blokkeren? Het stelt dat het toestemmingsvrij is, zoals Bitcoin of Ethereum, en geen individuele adressen kan censureren. Kritici wijzen erop dat het zijn eigen netwerk binnen enkele uren blokkeerde na een exploit van $10,7 miljoen in mei, en zijn leningproduct in januari 2025 bevriest.
Hoe kon de Drift-hack plaatsvinden zonder een codebug? Aanvallers hebben ongeveer zes maanden lang bijdragers sociaal gemanipuleerd, zich voordoende als een quant-firma, ontmoetten ze persoonlijk, deponeren $1 miljoen en misbruikten vervolgens duurzame nonces op Solana om de beheerdersrechten van de Beveiligingsraad over te nemen. De code was in orde; de mensen niet.
Wat is het verschil tussen NEAR Intents en THORChain hier? Het SHIELD-systeem van NEAR Intents blokkeerde ongeveer $50 miljoen aan met Bitget gelinkte swaps en weigerde de 5% beloning. THORChain weigerde helemaal te handelen. De twee reacties vertegenwoordigen twee uitsluitende toekomstscenario's voor gedecentraliseerde financiën.