Crypto phishing herkennen: wallet drainers haalden in 2025 bijna 84 miljoen dollar binnen

Crypto phishing herken je aan drie dingen: iemand doet zich voor als exchange, walletaanbieder of overheidsinstantie, zet je onder tijdsdruk en wil uiteindelijk je seed phrase, je wachtwoord of een handtekening in je wallet. Geen serieuze aanbieder vraagt ooit om je herstelzin, niet per e-mail, niet aan de telefoon en niet op een website. Wie deze ene regel onthoudt, ontloopt het grootste deel van de aanvallen.

Het probleem is allesbehalve klein. Volgens het jaarverslag van beveiligingsdienst Scam Sniffer maakten zogeheten wallet drainers in 2025 zo'n 83,85 miljoen dollar buit bij 106.106 slachtoffers. Dat is weliswaar 83 procent minder dan in 2024, toen het om bijna 494 miljoen dollar ging, maar de aanvallers hebben hun tactiek omgegooid: veel kleine bedragen in plaats van een paar grote slagen. Wie zijn munten zelf bewaart, bijvoorbeeld op een hardware wallet uit onze vergelijking van hardware wallets, beschermt zich tegen hacks bij exchanges. Tegen phishing helpt alleen het eigen wantrouwen, want hier geeft het slachtoffer zelf de toegang vrij.

Deze gids laat de meest voorkomende vormen van cryptofraude met phishing zien, de waarschuwingssignalen in e-mails, telefoontjes en updates, en wat je doet als je je seed phrase al hebt ingevoerd.

Wat is crypto phishing? Misleiding met een valse identiteit

Phishing is fraude waarbij criminelen zich voordoen als een betrouwbare afzender om aan inloggegevens of geld te komen. De term is een verbastering van het Engelse “fishing”, oftewel vissen: het aas ziet er echt uit, maar het gaat om jouw toegang. Bij crypto is de schade meestal definitief, omdat een transactie op de blockchain niet kan worden teruggedraaid. Een bank kan een overboeking onder omstandigheden nog terughalen. Bij bitcoin, ether of stablecoins bestaat zo'n instantie niet.

Bij crypto phishing mikken oplichters op drie soorten toegang:

• De seed phrase: de 12 of 24 woorden waarmee elke wallet kan worden hersteld. Wie ze kent, bezit de munten.
• De handtekening: een goedkeuring in je wallet waarmee je een smart contract toestaat tokens van je adres af te halen.
• Het exchange-account: e-mailadres, wachtwoord en tweefactorcode waarmee aanvallers inloggen bij je exchange en een opname in gang zetten.

In het Bitcoin-netwerk of op een andere blockchain wordt daarbij niets gehackt. De blockchain werkt correct en voert alleen uit wat met een geldige handtekening is opgedragen. Juist dat maakt phishing zo effectief: de aanval richt zich op de mens, niet op de techniek.

Wallet drainers en permit-handtekeningen: waar crypto phishing in 2025 het meeste kostte

Een wallet drainer is een kant-en-klaar fraudeprogramma dat criminelen huren en in nepsites inbouwen. Verbind je je wallet met zo'n site en bevestig je het verzoek dat verschijnt, dan haalt het script alle goedgekeurde tokens leeg. De sites kopiëren echte airdropacties, NFT-projecten of DeFi-platforms tot in detail.

Scam Sniffer heeft voor 2025 precies uitgesplitst welke handtekeningen het duurst uitvielen. Het grootste afzonderlijke geval kostte in september 6,5 miljoen dollar en liep via een zogeheten permit-handtekening. Permit is een functie van tokens op Ethereum en compatibele netwerken waarmee je met alleen een handtekening toestemming geeft om tokens uit te geven, zonder dat er een eigen transactie op de blockchain zichtbaar wordt. Elf gevallen lagen in 2025 boven een miljoen dollar, samen goed voor 22,98 miljoen. Daaronder waren drie permit-gevallen met 8,72 miljoen dollar en twee gevallen via het nieuwe Ethereum-formaat EIP-7702, dat sinds de Pectra-upgrade goedkeuringen in bundels mogelijk maakt.

Het duurste kwartaal was het derde met 31,04 miljoen dollar, het rustigste het vierde met 13,09 miljoen. Per slachtoffer ging in het vierde kwartaal gemiddeld 580 dollar verloren. De cijfers omvatten alleen drainer-aanvallen via phishingsites. Gestolen seed phrases uit nep-supportchats of telefoontjes zitten er niet in, de werkelijke schade ligt dus hoger.

In de praktijk betekent dat: een verzoek dat “Permit”, “Approve”, “setApprovalForAll” of een onbeperkte hoeveelheid tokens noemt, is op een onbekende site een waarschuwingssignaal. Bevestig niets wat je niet woord voor woord begrijpt. Hoe handtekening-phishing bij DeFi-wallets verloopt, leggen we uitgebreid uit in onze gids over de DeFi-wallet van 13 november.

Phishingmails van exchange en walletaanbieder: de waarschuwingssignalen volgens het BSI

Phishingmails zijn de klassieker. De Duitse consumentenorganisatie Verbraucherzentrale NRW registreerde volgens het Duitse federale cybercrimebeeld 2025 vorig jaar 382.470 phishingmails in Duitsland, zo'n 10 procent minder dan het jaar daarvoor. Crypto-exchanges en walletfabrikanten zijn een geliefd doelwit, omdat hun klanten bezittingen hebben die direct te gelde te maken zijn.

Het Duitse Bundesamt für Sicherheit in der Informationstechnik (BSI) noemt typische waarschuwingssignalen die zich direct laten vertalen naar cryptomails:

• De tekst beweert dat je dringend moet handelen, bijvoorbeeld vanwege een zogenaamde accountblokkade of een beveiligingsprobleem.
• De mail dreigt met gevolgen als je niet reageert.
• Het bericht vraagt je vertrouwelijke gegevens in te voeren of een link te volgen.
• Het verzoek past niet bij de afzender, bijvoorbeeld als een walletfabrikant je vraagt je woorden te “verifiëren”.
• Achter de getoonde afzendernaam zit een ander e-mailadres.

Twee oude vuistregels gelden niet meer. Foutloos taalgebruik bewijst geen echtheid, want met AI-tools schrijven oplichters tegenwoordig netter dan vroeger. En een “https://” in de adresbalk is volgens het BSI geen reden tot geruststelling, omdat elke phishingsite zo'n certificaat kan krijgen. Let in plaats daarvan op het exacte domein: ongebruikelijke cijfers, koppeltekens of extensies als .cam of .support achter een bekende merknaam zijn een duidelijk waarschuwingssignaal. Een recent voorbeeld is de nepsite waarover we schreven in het artikel over Trust Wallet-phishing.

Nep-support aan de telefoon: geen walletaanbieder belt over je seed phrase

De tweede grote truc is nep-support. Een zogenaamde supportmedewerker neemt contact op via de telefoon, een messenger of een direct bericht op sociale media nadat je publiekelijk een probleem hebt gemeld, of helemaal zonder aanleiding. Hij klinkt deskundig, kent soms je naam en je bestelling uit een eerder datalek en dringt aan op het snel “veiligstellen” van je munten.

Ledger schrijft op zijn waarschuwingspagina over phishingcampagnes uitdrukkelijk dat het bedrijf gebruikers nooit per sms of telefoon benadert en ook geen directe berichten op sociale media stuurt. Word je gebeld, dan moet je volgens Ledger meteen ophangen en verdere contactpogingen negeren. Hetzelfde geldt in wezen voor elke serieuze exchange en elke walletaanbieder: het contact gaat van jou uit, via de officiële app of de website die je zelf intypt.

Typische zinnen van nep-support zijn: “Je account is gecompromitteerd, we moeten de munten naar een veilig adres verplaatsen” of “Lees ter bevestiging de eerste woorden van je zin voor”. Een exchange die je vraagt munten over te maken naar een nieuw adres dat iemand je aan de telefoon dicteert, bestaat niet. Hoe criminelen klantgegevens uit datalekken gebruiken voor zulke telefoontjes en mails, hebben we in september samengevat in een aparte gids over phishing na een datalek.

Valse firmware-updates en wallet-apps: crypto phishing omzeil je via de app van de fabrikant

Hardware wallets gelden als de veiligste vorm van bewaring, en juist daarom richten oplichters zich op de eigenaren. De truc: een mail of pop-up kondigt een dringende firmware-update aan en leidt naar een nagebouwde downloadpagina. Het nepprogramma vraagt vervolgens om de herstelzin, zogenaamd om de wallet na de update opnieuw in te stellen.

Ledger maakt duidelijk dat het bedrijf geen e-mails verstuurt waarin gebruikers worden gevraagd om een firmware-update, het inschakelen van tweefactorauthenticatie of vergelijkbare stappen. Daarnaast waarschuwt de fabrikant voor nepversies van zijn app Ledger Wallet (voorheen Ledger Live), die er op het eerste gezicht heel overtuigend kunnen uitzien. Een voorbeeld van zulke sites met een nagemaakte echtheidscontrole meldde beveiligingsbedrijf SlowMist in oktober, wij schreven erover in het stuk over valse Ledger-updates.

De regel is eenvoudig: firmware-updates komen uitsluitend via de officiële app van de fabrikant, die je uit de officiële appstore of via de zelf ingetypte site van de fabrikant hebt geïnstalleerd. De herstelzin voer je volgens Ledger nergens in behalve direct op het apparaat zelf. Een programma op de computer of smartphone dat om de woorden vraagt, is een fraudepoging.

Phishing per brief en QR-code: de post als nieuw kanaal

Inmiddels gebruiken oplichters ook de gewone post. Eigenaren van hardware wallets krijgen brieven op nagemaakt briefpapier die een verplichte controle of een beveiligingsupdate aankondigen. Een opgedrukte QR-code leidt naar een phishingsite die om de seed phrase vraagt. Ledger noemt op zijn waarschuwingspagina uitdrukkelijk fysieke post die oproept een QR-code te scannen of een website te bezoeken.

De brief komt geloofwaardiger over dan welke mail ook, omdat naam en adres kloppen. Die gegevens komen vaak uit eerdere datalekken bij winkels en dienstverleners. Het verloop van zo'n campagne beschreven we in de gids over wallet-phishing per brief. Een brief die je vraagt je woorden op een website in te voeren, is altijd fraude, ongeacht afzender en briefhoofd.

Pig butchering en recovery scam: als crypto-beleggingsfraude en phishing samenvallen

Niet elke misleiding mikt meteen op de seed phrase. Bij pig butchering (vrij vertaald “varkens slachten”) bouwen oplichters wekenlang vertrouwen op, vaak via datingapps, messengers of zogenaamd verkeerd bezorgde berichten. Later raden ze een handelsplatform aan dat echt oogt, winsten toont en bij een opname ineens kosten of “belasting” vraagt. Deze vorm van crypto-beleggingsfraude gebruikt dezelfde middelen als phishing: nepsites, valse identiteiten en tijdsdruk.

Bijzonder gemeen is de recovery scam: wie al geld kwijt is, krijgt aanbiedingen van zogenaamde terughaaldiensten of toezichthouders. Echte instanties vragen geen vooruitbetaling en geen inloggegevens om cryptobezittingen terug te halen.

Of een aanbieder überhaupt een vergunning heeft, controleer je zelf in het register van de Europese markttoezichthouder ESMA. Sinds de cryptoverordening MiCA hebben cryptodienstverleners in de EU een vergunning nodig, de details staan in ons overzicht over de MiCA-vergunning. Bij welke platforms je crypto kunt kopen, zie je in onze vergelijking om bitcoin te kopen. Een platform dat je in geen enkel register vindt, is taboe voor je beleggingen.

Domein controleren en bladwijzers gebruiken: beschermingsmaatregelen tegen crypto phishing

De beste bescherming bestaat uit gewoonten die je één keer instelt en daarna niet meer ter discussie stelt. Belangrijk is eerst de weg naar de exchange: open exchanges, wallets en DeFi-toepassingen alleen via een zelf aangemaakte bladwijzer of de officiële app, nooit via een link uit een mail, een advertentie in de zoekmachine of een bericht.

• Tweefactorauthenticatie met app of beveiligingssleutel: sms-codes zijn te onderscheppen via een overgenomen telefoonnummer. Een authenticator-app of een hardwaresleutel is robuuster.
• Antiphishingcode bij de exchange: veel exchanges bieden een persoonlijke code die in elke echte mail staat. Ontbreekt die, dan komt de mail niet van de exchange.
• Whitelist voor opnames: stel in dat opnames alleen naar vooraf bevestigde adressen gaan. Zelfs met je wachtwoord kunnen aanvallers dan niet naar willekeurige adressen opnemen.
• Gescheiden wallets: houd een kleine wallet aan voor experimenten met nieuwe DeFi-sites en airdrops en bewaar het grootste deel apart op een hardware wallet die nooit met onbekende sites wordt verbonden.
• Goedkeuringen regelmatig intrekken: oude tokengoedkeuringen blijven actief tot je ze intrekt. Block explorers en wallet-apps tonen je openstaande goedkeuringen.
• Adressen volledig vergelijken: bij address poisoning sturen oplichters minieme bedragen vanaf een adres dat aan het begin en eind lijkt op je echte bestemmingsadres. Wie het adres uit de geschiedenis kopieert, stuurt het geld naar het verkeerde adres.

Gebruik je een software wallet op je smartphone, let dan ook op een aanbieder met een ingebouwde waarschuwing voor bekende phishingsites en een transactievoorbeeld. Welke apps dat bieden, staat in onze vergelijking van software wallets.

Seed phrase prijsgegeven: de eerste uren na een crypto phishing-aanval

Heb je je woorden op een vreemde site ingevoerd of aan een beller genoemd, dan telt elke minuut. Oplichters halen wallets vaak geautomatiseerd leeg, soms pas na uren of dagen om extra stortingen af te wachten. Verstandig is nu deze volgorde:

1. Nieuwe wallet aanmaken: richt op een schoon apparaat een nieuwe wallet in met een nieuwe seed phrase. Bij een hardware wallet zet je het apparaat terug naar de fabrieksinstellingen en maak je nieuwe woorden aan.
2. Resterende tegoeden direct verplaatsen: maak alles wat er nog staat over naar het nieuwe adres. De oude zin geldt als verbrand en wordt nooit meer gebruikt.
3. Goedkeuringen intrekken: heb je een handtekening op een drainer-site bevestigd, maar de zin niet prijsgegeven, trek de goedkeuring dan in via de block explorer. Dat kost een kleine netwerkvergoeding.
4. Exchange-accounts beveiligen: wijzig wachtwoord en tweefactorinstellingen, log overal uit en informeer de support van de exchange via de officiële website.
5. Bewijs veiligstellen: bewaar mails, chatgeschiedenis, het adres van de phishingsite en de transactie-ID's.

Een garantie dat je gestolen munten terugkrijgt, bestaat niet. Grotere bedragen belanden echter vaak bij exchanges die op aanwijzing van opsporingsdiensten accounts kunnen bevriezen. Hoe sneller de transactie-ID's beschikbaar zijn, hoe groter de kans.

Aangifte en melding na crypto phishing: politie en consumentenorganisatie

Na cryptofraude doe je aangifte bij de politie; in Duitsland kan dat in alle deelstaten ook via het online politiebureau. Volgens het Duitse federale beeld registreerde de politie daar in 2025 zo'n 334.000 gevallen van cybercrime, het werkelijke aantal ligt flink hoger. Elke aangifte helpt patronen te herkennen en rekeningen van daders te blokkeren.

Verdachte mails zonder schade kun je doorsturen naar de phishingradar van de Verbraucherzentrale NRW (phishing@verbraucherzentrale.nrw). Daar verschijnen ook actuele waarschuwingen over lopende campagnes. Bij grotere schade kan een advocaat in kapitaalmarktrecht nagaan of een betrokken exchange of bank aansprakelijk is. Serieuze kantoren beloven daarbij vooraf geen terugbetalingspercentage.

Heb je een phishingmail of een fraudetelefoontje herkend zonder iets in te voeren, dan is het simpel: verwijderen, niet antwoorden, geen link openen. Een antwoord bevestigt de oplichters alleen dat het adres actief is.

Crypto phishing: je seed phrase hoort nooit in een formulier

Bijna elke vorm van cryptofraude met phishing eindigt op hetzelfde punt: iemand wil je woorden, je wachtwoord of je handtekening. Drie stappen maken je een stuk lastiger aan te vallen:

1. Bewaring scheiden: zet het grootste deel van je munten op een hardware wallet die nooit met onbekende sites wordt verbonden. Apparaten met een eigen scherm vind je in de vergelijking van hardware wallets.
2. Een dagelijkse wallet met beschermfuncties kiezen: voor kleine bedragen en DeFi volstaat een app met transactievoorbeeld en phishingwaarschuwing. De verschillen staan in de vergelijking van software wallets.
3. Alleen bij toegelaten exchanges handelen: een exchange met MiCA-vergunning staat onder toezicht, en veel bieden daarnaast een antiphishingcode en een whitelist voor opnames. Welke aanbieders een vergunning hebben, staat in de vergelijking van gereguleerde crypto-exchanges.

(Per 14 november 2026. Dit artikel is geen beleggingsadvies. Koersen en tarieven veranderen; controleer de voorwaarden bij de aanbieder voordat je koopt.)