Crypto wordt vaker gehackt, niet minder. De Liquid Network-drain toont het echte probleem: $1,5 mln besteed om $5 mrd aan activa te beschermen.
# Waarom crypto steeds vaker wordt gehackt — $1,5 mln om $5 mrd te beschermen
Belangrijkste conclusies
- Crypto wordt vaker gehackt, niet minder: ongeveer $1,4 mrd gestolen bij 250 aanvallen in 2026, versus $2,7 mrd bij 146 in 2025 — kleinere gemiddelde diefstallen, veel hogere frequentie.
- De [Blockstream](https://blockstream.com) [Liquid Network](https://liquid.net) hack onthulde de rotte prikkel eronder: een $1.5 million beveiligingsbudget dat $5 billion aan activa beschermt — een 0.03% uitgave.
- De zelfbenoemde "white hat" keerde 3,400 BTC terug en hield 598.5 BTC (~$47 million) als een zelfbenoemde premie — ongeveer 30x het volledige beveiligingsbudget.
- Gecompromitteerde sleutels en social engineering — niet smart-contract bugs — overtroffen code exploits als de belangrijkste oorzaak van DeFi-verliezen naar dollarwaarde dit jaar.
- De duurzame les: security risk is now a first-order, priceable input, and the survivors will be the protocols that fund security like a core product, not an afterthought.
Op September 6, 2026, liep iemand met ongeveer 4,000 Bitcoin — ongeveer $320 million — uit de federatiewallet die Liquid, Blockstream's Bitcoin sidechain, ondersteunt. Het was geen gestolen sleutel. De 11-of-15 multisig bleef, en de peg-out autorisatiesleutels werden nooit aangeraakt. Een vreemde vond een fout in Elements, de open-source codebase waarop Liquid draait, minted L-BTC die geen echte Bitcoin ondersteunde, en wisselde het in via de voordeur als een normale klant. De reserve daalde van 4,200 BTC naar 197 BTC in ongeveer 23 minuten.
Toen kwam het vreemde deel. De aanvaller rende niet weg. Ze schreven "we are whitehats. contact us on chain" in een Bitcoin-transactie en begonnen publiekelijk te onderhandelen over een terugbetaling van $320 million, één OP_RETURN-bericht per keer. Een dag later keerden ze 3,400 BTC terug — 85% van de buit — en hielden 598.5 BTC, ongeveer $47 million, als een zelfbenoemde bounty.
Dit is het cijfer dat elke oprichter, handelaar en LP moet doen opschieten: op 9 september vertelde de aanvallende partij de wereld dat Blockstream slechts $1,5 miljoen had toegewezen om $5 miljard aan activa te beveiligen. "Uw nalatigheid is duidelijk", schreven ze, met de dreiging om de rest te houden tenzij Blockstream een beloning van 10% betaalde.
Die verhouding is het hele verhaal van cryptobeveiliging in 2026. Geen technisch falen. Een incentive-falen. Als je wilt begrijpen waarom crypto steeds vaker wordt gehackt, stop dan met het lezen van smart-contract-nabeschouwingen en begin met het lezen van de budgetspreadsheet.
## Waarom is het aanvalsoppervlak van code naar mensen verschoven?
Tijdens een decennium behandelde de sector beveiliging als een code-review-probleem: meer auditors, meer formele verificatie, meer bug bounties voor re-entrancy en overflow. De aanvallers verplaatsten zich simpelweg omhoog in de stack. In 2026 overtroffen aangevallen sleutels smart-contract-exploits als belangrijkste oorzaak van DeFi-verliezen in dollarwaarde — omdat dat is waar de onbewaarde waarde nu zit.
Kijk naar de ergste enkele diefstal van het jaar. In april verloor [Drift Protocol](https://drift.trade), de grootste perpetuals-exchange op Solana, ongeveer $285 miljoen. Het was geen bug. Het was een zes maanden durende Noord-Koreaanse inlichtingenoperatie (gevolgd als UNC4736, of AppleJeus). Operatieleden gaven zich uit als een kwantitatieve handelsfirma, ontmoetten bijdragers persoonlijk op conferenties in meerdere landen en stopten meer dan $1 miljoen van hun eigen kapitaal in om geloofwaardigheid op te bouwen. Vervolgens compromitteren ze twee bijdragers — de ene via een kwaadaardige code-repository, de andere via een nep TestFlight-wallet-app die een zwakke plek in stille code-uitvoering in VSCode en Cursor benutte. De contracten van Drift waren in 2022 geauditeerd door Trail of Bits. Schoone audit, in twaalf minuten leeggehaald via een 2-of-5 multisig zonder timelock.
Zelfde patroon, andere dag: KelpDAO verloor ongeveer $292 miljoen toen een aanvallende partij valse data voerde naar zijn enige vertrouwde verificator. Tectonic verloor ongeveer $75 miljoen door dunne onderpanding en een pump-and-dump-orakel. Coldcard verloor $115–130 miljoen door een firmware-bug in willekeurige getallen. Geen van deze waren slimme zero-days. Het waren enkele punten van vertrouwen, hongerig naar diepte-in-beveiliging.
De frequentie is de aanwijzing. $1,4 miljard over 250 aanvallen in 2026, versus $2,7 miljard over 146 in 2025. Minder dollars, veel meer incidenten — de gemiddelde diefstal is kleiner, sneller en steeds geautomatiseerder. Bruggen en cross-chain-infrastructuur zijn nu goed voor 26 aanvallen (meer dan 10% van het totaal), versus slechts 3 in 2025. Dit is de professionalisering van diefstal: een lange staart van semi-geautomatiseerde aanvallers die de ondergefinancierde randen van het ecosysteem afplukken.
## Wie wint wanneer een "white hat" $47 miljoen behoudt?
Ledger CTO Charles Guillemet noemde de Liquid-episode "meer als extorsie dan white-hat hacking". Hij heeft gelijk over de methode — eerst leegtrekken, later onderhandelen is intimidatie, geen verantwoordelijke melding. Maar het ongemakkelijke deel is het bedrag. Een kwetsbaarheid die $320 miljoen in 23 minuten kan leegtrekken, is volgens elke serieuze bounty-standaard miljoenen waard. De enige reden waarom dit als een schandaal wordt gelezen, is dat Blockstream het risico zelf nooit heeft geprijsd. De aanvalleur deed de prijsbepaling voor hen — en, pervers genoeg, stemt de markt er stilzame mee in.
De winnaars zijn makkelijk te noemen. Beveiligingsonderzoekers die jarenlang om echte bounties hebben gevraagd, kregen zojuist de sterkste wervingspitch die je je kunt voorstellen: levend bewijs dat de opbrengst van het vinden van de grote vis enorm is. Auditors, verzekeraars en monitoringbedrijven winnen — de vraag naar hun diensten staat op het punt te exploderen. Aanvallers winnen, uiteraard.
De verliezers: L-BTC-houders wier fondsen bevroren bleven terwijl het netwerk gepauzeerd bleef, en die vertrouwden in een sidechain waarvan de exploitanten slechts 0,03% van de waarde-in-gevaar besteedden aan bescherming. En het reputatieschade van Blockstream is het diepst — dit was geen kleine startup, het is het meest Bitcoin-serieuze bedrijf in de sector, en zelfs zij onderfinancierden beveiliging met ordes van grootte.
## Is dit eerder gebeurd — of is dit nieuw?
Er is een lange geschiedenis van hackers die gestolen fondsen teruggeven: Poly Network in 2021 ($610 miljoen, alles teruggegeven), Euler in 2023 ($197 miljoen, grotendeels teruggegeven). Maar dat waren dieven die betrapt werden en voor herstel kozen. Wat bij Liquid anders is, is de framing: de aanvallers presenteerden zich als white hats voordat de diefstal zelfs maar ontdekt was, en gebruikten de teruggegeven fondsen dan als drukmiddel om een openbare concessie af te dwingen.
Dat is een nieuwe categorie — noem het ransomware met een openbaaringsformulier. En het werkt alleen vanwege het diepere, oudere probleem: de beveiligingsbudgetten van crypto zijn grotesk verkeerd toegewezen ten opzichte van de waarde die in het geding is. Het Liquid-incident is simpelweg de eerste keer dat een aanvalder het beveiligingsbudget van een project publiekelijk als wapen gebruikte als argument voor de misdaad. Dat is een teken van volwassenheid, op een pervers niveau — aanvallers begrijpen de economie van crypto nu beter dan veel oprichters.
## Waar gaat dit de komende drie jaar naartoe?
Drie voorspellingen, geen van hen over prijzen. Ten eerste zal de uitgaven aan beveiliging geprofessionaliseerd worden, of de protocollen zullen geplunderd worden. De verhouding van $1,5 miljoen tot $5 miljard is onhoudbaar en nu publiek; verwacht dat serieuze projecten convergeren naar enkele basispunten van TVL die aan beveiliging worden toegewezen, minimaal, en verwacht dat de rest kaal wordt geplukt.
Ten tweede zal de "white hat met een pistool" een erkend — al is het dan lelijk — kenmerk van het landschap worden. Of regelgevers het nu extorsie noemen of rechtbanken diefstal, de beloningen zijn vastgelegd: een vreemde vond een kritieke bug en werd 30x het totale beveiligingsbudget van het slachtoffer betaald. Dat zal opnieuw gebeuren, omdat de markt blijft investeren in de prijs.
Ten derde worden verzekeringen en attestaties de gracht. De protocollen die de zuivering van 2026–2027 overleven, zullen niet degenen zijn met de slimste contracten; het zullen degenen zijn met echte beveiligingsteams, echte beloningen, timelocks en dekking. DeFi wordt saai — en saai is precies wat instellingen afwachten.
## Wat betekent dit voor handelaren?
Behandel beveiligingsrisico als een first-order, priceable input — op dezelfde manier waarop je liquiditeit of regulatoir risico zou behandelen, niet als een asterisk. De "hack discount" is echt en compounding: Tectonic's TVL stortte in van $121.7 million naar ongeveer $3 million na zijn exploit. Wanneer een protocol wordt gehackt, keert de liquiditeit niet terug. De asymmetrie is brutaal — je wordt niet gecompenseerd voor het tail risk van het parkeren van kapitaal in een single-verifier bridge of een unaudited lending market.
Concentratie is de verborgen correlatie. L-BTC, gefedereerde sidechains en single-verifier bridges lijken op "Bitcoin"‑ of "ETH"‑exposure, maar ze dragen een software‑ en tegenpartijrisico dat het onderliggende asset niet heeft. De onderliggende chain werd niet gehackt; de wrapper wel. Als je thesis is "Ik wil Bitcoin‑exposure", voegt het houden van een wrapped‑ of sidechain‑versie stilletjes risico toe waarvoor je niet wordt gecompenseerd.
En de picks-and-shovels-observatie: het terugkerende thema dat zich door elke hack-cyclus opstapelt, is geen token — het is de security stack. Auditors, verzekeraars, monitoring-bedrijven en de protocollen die security juist financieren, zijn waar duurzame waarde ontstaat. Geen aanbeveling; slechts een opmerking over waar de werkelijk schaarse bron van de industrie nu zit: vertrouwen.
## De rekening wordt altijd voldaan
Blockstream zal waarschijnlijk L-BTC-houders volledig compenseren — Adam Back zei dat de peg 1:1 wordt gedekt. Het geld zal uiteindelijk grotendeels terugkomen. Maar de les zal niet ongedaan worden gemaakt: een industrie die miljarden ophaalde voor marketing en token-lanceringen, gaf $1.5 million uit om $5 billion te beschermen — en een vreemde met een teksteditor moest de wiskunde onder dwang laten zien, tegen bedreiging, voor 30x het budget.
De volgende keer dat iemand vraagt waarom crypto steeds wordt gehackt, toon hen dan geen post-mortem. Toon hen de spreadsheet.
## FAQ
Waarom wordt crypto in 2026 steeds gehackt?
De belangrijkste oorzaak van verlies is verschoven van smart-contract bugs naar gecompromitteerde sleutels, enkele verifiers en sociale engineering. Aanvallers zijn omhoog gegaan in de stack naar de menselijke en infrastructuurlagen, omdat daar de waarde onbewaakt zit.
Was de Liquid Network "white hat" een echte white hat?
Betwistbaar. De aanvalder gaf 85% van de fondsen terug, maar behield ongeveer $47 miljoen en dreigde deze te behouden zonder een beloning van 10% — wat Ledger CTO Charles Guillemet en anderen "meer als extorsie dan white-hat hacking" noemden.
Hoeveel heeft Blockstream uitgegeven aan beveiliging?
De aanvallers onthulden dat Blockstream ongeveer $1,5 miljoen had toegewezen om ongeveer $5 miljard aan activa op Liquid te beveiligen — ongeveer 0,03%.
Heeft de Liquid-hack Bitcoin zelf gecompromitteerd?
Nee. De baselaag van Bitcoin bleef onaangetast. De bug zat in Elements, de software die de Liquid-sidechain aandrijft, en in de gefedereerde infrastructuur rond de peg. Geen enkele multisig-sleutel werd gecompromitteerd.
Wat is de belangrijkste les voor DeFi-gebruikers?
Beveiliging is nu een waardebepaalbaar, eerste-orde risico. Het concentreren van fondsen in bruggen met één verificatie, gefedereerde sidechains of niet-geauditeerde protocollen voegt staart-risico toe waarvoor je niet wordt gecompenseerd — en gehackte protocollen herstellen zelden hun liquiditeit.