Trust Wallet phishing: nepsite op .cam richt zich ook op Phantom en OKX Wallet

Trust Wallet phishing heeft een nieuw adres: de nepsite trastwallet[.]cam doet zich voor als Trust Wallet en vraagt je om je wallet te koppelen. Het echte adres is trustwallet.com. Wie de twee adressen niet letter voor letter vergelijkt, belandt op een pagina waarvan de code saldi uitleest en overboekingen naar vast ingestelde ontvangers voorbereidt. Binance-oprichter Changpeng Zhao waarschuwde er op 5 november publiekelijk voor, met de korte zin “.cam is not .com”.

Voor jou als cryptobelegger is dat meer dan een voetnoot uit de scene. Volgens de analyse richt de site zich niet alleen op Trust Wallet, maar ook op Phantom en OKX Wallet. Daarmee gaat het om gebruikers van de drie meest gebruikte software wallets voor Ethereum, BNB Chain en Solana. Gebruik je een van deze apps, dan wil je weten hoe je de vervalsing herkent en wat je kunt doen als je al op “Verbinden” hebt getikt.

Trust Wallet phishing: wat er bekend is over trastwallet[.]cam

De site werd ontdekt door beveiligingsonderzoeker Anurag, die op X publiceert onder de naam Malwarehunter. Afhankelijk van het bericht vond hij de site op 4 of 5 november. Hij zette schermafbeeldingen en fragmenten uit de JavaScript-code van de site online, en Zhao deelde de vondsten kort daarna met zijn volgers. Het vakplatform crypto.news beschreef de analyse uitgebreid.

De pagina draagt de titel “Review your wallet transfers”, vrij vertaald “Controleer je wallet-overboekingen”. Je ziet een kaartontwerp en een grote knop om je wallet te koppelen. Een automatische dienst zou je overboekingen controleren, met een limiet per asset van 1 tot 5.000 dollar, netwerkkosten en een wallet-autorisatie. Zo’n dienst bestaat bij Trust Wallet niet. De vormgeving moet alleen verklaren waarom je je wallet überhaupt zou koppelen.

Belangrijk voor de duiding: toen de onderzoeker de site bekeek, was de ondertekenfunctie uitgeschakeld. De code bevatte alle bouwstenen voor diefstal, maar kon de voorbereide transacties in deze versie niet laten uitvoeren. Of de beheerders nog aan het testen waren of de functie later wilden inschakelen, is onduidelijk. Gestolen bedragen die eenduidig aan deze site zijn toe te schrijven, zijn tot nu toe niet aangetoond.

Trust Wallet is al langer een geliefd doelwit

Trust Wallet behoort tot de meest gebruikte software wallets en dient daardoor vaak als voorbeeld voor vervalsingen. In december 2025 bevatte versie 2.68 van de Chrome-extensie kwaadaardige code; gebruikers verloren toen zo’n 7 miljoen dollar, en Zhao zegde schadevergoeding toe. Op 28 oktober 2026 waarschuwde Trust Wallet bovendien zelf voor een nagemaakte cryptokaart-site die niets met het bedrijf te maken heeft. Hoe de wallet zich in de praktijk houdt, lees je in onze review van Trust Wallet.

Typosquatting: één verwisselde letter en .cam in plaats van .com

De truc achter het adres heet typosquatting. Daarmee bedoelen we een domein dat sprekend lijkt op een bekend adres en inspeelt op typefouten of vluchtig lezen. Bij trastwallet[.]cam zitten er twee afwijkingen in de naam: de “u” in “trust” wordt een “a”, en de extensie .com wordt .cam. Op een klein telefoonscherm valt geen van beide op, vooral niet als je op een link in een bericht tikt en de adresbalk niet eens leest.

De extensie .cam is een gewoon topleveldomein dat iedereen kan registreren. Visueel lijkt het op .com, met Trust Wallet heeft het niets te maken. Hetzelfde principe gebruiken oplichters met koppeltekens (“trust-wallet-support”), toevoegingen als “-fix” of “-verify” en subdomeinen waarbij de echte merknaam vooraan staat en het eigenlijke domein pas aan het eind komt. Doorslaggevend is altijd het deel direct voor de eerste enkele schuine streep, dus het geregistreerde domein met extensie.

Een bescherming die betrouwbaar werkt: open wallet-sites nooit via links, maar alleen via een bladwijzer die je zelf een keer hebt aangemaakt, of rechtstreeks in de geïnstalleerde app. Advertenties in zoekmachines zijn geen veilige route, want ook daar duiken steeds weer nep-walletsites op.

Wallet drainer: hoe het script saldi uitleest en overboekingen voorbereidt

Technisch hoort de site bij de familie van wallet drainers. Een wallet drainer is een programma op een website dat na het koppelen van je wallet je saldi uitleest en je transacties ter ondertekening voorlegt die je munten en tokens naar de aanvallers sturen. Volgens de analyse heeft de code van trastwallet[.]cam precies deze twee onderdelen: een interface die saldi opvraagt en een bestand dat de verbinding met Trust Wallet, Phantom en OKX Wallet legt.

Het verloop is bij zulke sites bijna altijd hetzelfde. Eerst koppel je de wallet en ziet de site je openbare adres. Daarna leest de site uit welke munten en tokens op dat adres staan en sorteert ze op waarde. Vervolgens verschijnt in je wallet een ondertekeningsverzoek, vaak vermomd als “controle”, “bevestiging” of “vrijgave”. Wie tekent, staat de overboeking naar de in de code vastgelegde ontvangstadressen toe. Dat de site meerdere wallets ondersteunt en saldi vooraf scant, wijst erop dat de beheerders gericht de lucratiefste accounts willen uitkiezen.

Wallet koppelen en een transactie ondertekenen zijn twee verschillende toestemmingen

Veel gebruikers denken dat het koppelen van de wallet al de gevaarlijke stap is. Dat klopt maar deels. Bij alleen koppelen geef je een site je openbare adres prijs, informatie die iedereen toch al in een blockchain-explorer kan opzoeken. Verplaatsen kan de site daarmee nog niets. Vervelend is het wel, omdat de beheerders nu weten welk adres de moeite waard is, maar het is nog geen verlies.

Gevaarlijk wordt het met de handtekening. Een handtekening is je digitale akkoord onder een transactie of bericht, aangemaakt met je privésleutel. Op Ethereum en BNB Chain kan dat een tokengoedkeuring zijn, een zogeheten approval, waarmee je een vreemd smart contract toestaat tokens uit je wallet te verplaatsen. Op Solana kunnen in één transactie meerdere overboekingen gebundeld zijn. Sinds de Pectra-upgrade op Ethereum komt er een variant bij, de delegatie volgens EIP-7702, die je adres tijdelijk aan vreemde code koppelt.

De vuistregel: lees elk ondertekeningsverzoek voordat je bevestigt. Toont je wallet een overboeking, een onbeperkte goedkeuring of een waarschuwing over een onbekend contract terwijl je alleen iets wilde “controleren”, breek dan af. Een site die overboekingen zogenaamd alleen controleert, heeft geen handtekening van je nodig.

Seed phrase en private key: geen echte wallet-site vraagt erom

De tweede grote vorm van wallet-phishing werkt zonder handtekening. De vervalsing vraagt je je wallet “handmatig” te koppelen of te “herstellen” en toont daarvoor invoervelden voor de seed phrase of de private key. De seed phrase, ook herstelzin genoemd, is de lijst van 12 of 24 woorden waaruit alle sleutels van je wallet zijn af te leiden. Wie die kent, bezit je munten, op welk apparaat hij ze ook invoert.

Trust Wallet benadrukt zelf dat het bedrijf nooit om je herstelzin vraagt, niet in de app en niet per e-mail. Hetzelfde geldt voor Phantom, OKX Wallet en elke andere serieuze aanbieder van een self-custody wallet. Self-custody betekent dat alleen jij de sleutels hebt en geen bedrijf ze voor je bewaart. Juist daarom kan ook geen supportmedewerker een verloren herstelzin vervangen of een overboeking terughalen. Een herstelzin hoort dus nooit in een cloud of in een browserveld.

Zo herken je een vervalsing aan het verloop

• De site zet je onder tijdsdruk, bijvoorbeeld met een zogenaamd beveiligingslek, een blokkade of een deadline.
• De site vraagt een handtekening voor iets wat geen handtekening nodig heeft, zoals een “controle” of een “synchronisatie”.
• De site biedt een veld voor seed phrase, private key of keystore-bestand aan.
• Je kwam via een bericht, een advertentie of een post op sociale media, niet via je bladwijzer.

URL-controle in de browser: de adresbalk verraadt de vervalsing nog voor het koppelen

De adresbalk is je belangrijkste hulpmiddel. Tik op je telefoon één keer in de balk zodat het volledige adres verschijnt, en lees het van rechts naar links: eerst de extensie, dan de naam ervoor. Bij Trust Wallet moet daar trustwallet.com staan, zonder koppelteken, zonder toevoeging en zonder andere extensie. Een slotje bewijst niets, want ook oplichtingssites hebben een geldig versleutelingscertificaat.

Voor crypto gelden dezelfde basisregels als bij elke vorm van phishing: wantrouw links in berichten, typ adressen zelf in en vul nooit inloggegevens in op pagina’s die je niet zelf hebt geopend. Bij wallets komt er één bijzonderheid bij. Bij een bankrekening kun je een frauduleuze overboeking soms laten terugdraaien, op een blockchain is een bevestigde transactie definitief.

Daarnaast helpt een eenvoudige scheiding. Gebruik voor het uitproberen van nieuwe sites en toepassingen een aparte wallet met een klein saldo en bewaar grotere bedragen apart, het liefst op een hardware wallet. Een hardware wallet is een klein apparaat dat je privésleutels offline opslaat en elke transactie op een eigen scherm toont voordat je bevestigt. Ook daar moet je lezen wat je ondertekent, maar de sleutels verlaten het apparaat nooit. Geschikte modellen stellen we verderop voor.

Het vermeende iOS-lek: het bericht over 1,1 miljoen dollar is onbevestigd

Op dezelfde dag als de waarschuwing van Zhao verspreidde het X-account Emperor.SOL de bewering dat een onbekende aanvaller Trust Wallet-gebruikers via een kwetsbaarheid in iOS 18.5 zo’n 1,1 miljoen dollar had afhandig gemaakt en daarbij seed phrases van de toestellen had uitgelezen. Het bericht toonde schermafbeeldingen van USDT-overboekingen van 500.000, 100.000 en 190.000 Tether naar stortingsadressen bij Binance. Volgens het account zou de support van Trust Wallet hebben geadviseerd iOS direct bij te werken.

Daarvan is weinig aangetoond. De schermafbeeldingen laten niet zien hoe de overboekingen met een iPhone-lek samenhangen, en vakmedia noemen de bewering onbevestigd. Met de nepsite op .cam heeft ze voor zover bekend niets te maken. Los daarvan is een actueel besturingssysteem altijd verstandig: updates dichten beveiligingslekken, en oudere iOS-versies waren in het verleden daadwerkelijk doelwit van aanvallen op crypto-apps. Een wallet op een telefoon die geen updates meer krijgt, is geen goede plek voor grotere bedragen.

Tokengoedkeuringen intrekken: na een per ongeluk gezette handtekening telt de tijd

Heb je op een verdachte site al iets ondertekend, handel dan meteen. De eerste stap is het resterende saldo overzetten naar een nieuwe, schone wallet waarvan de seed phrase nooit met de verdachte site in aanraking is gekomen. Heb je de seed phrase zelf ingevoerd, dan is de oude wallet definitief verloren: elk adres dat uit die zin voortkomt, moet je vanaf nu als gecompromitteerd beschouwen, ook als er nog saldo op staat.

Heb je alleen een tokengoedkeuring gegeven, dan kun je die intrekken. Op Ethereum en compatibele netwerken laten tools als Revoke.cash of het goedkeuringsgedeelte van een blockchain-explorer zien welke contracten je toegang hebt gegeven, en kun je de goedkeuring met een eigen transactie intrekken. Dat kost een kleine netwerkvergoeding en werkt alleen voor de toekomst. Al weggesluisde tokens krijg je met het intrekken niet terug. Belangrijk: open ook zulke tools alleen via een zelf ingetypt adres, want oplichters vervalsen gericht ook revoke-sites.

Aangifte en melding: politie, exchange en ESMA-register

Wie geld kwijt is, doet er goed aan aangifte te doen bij de politie wegens oplichting of computerfraude. Houd daarvoor het adres van de phishingsite, de transactie-ID’s, je getroffen walletadres en de ontvangstadressen bij de hand. De transactie-ID vind je in je wallet of in de blockchain-explorer. Ook schermafbeeldingen van de site en van het bericht waarlangs je erop terechtkwam, helpen de opsporing.

Is er een exchange betrokken waarnaar de gestolen munten zijn doorgesluisd, dan loont een melding bij het beveiligingsteam van die exchange, met de transactie-ID’s: centrale exchanges kunnen binnenkomend geld onder omstandigheden bevriezen. Exchanges met een MiCA-vergunning hebben daarvoor vaste meldkanalen en een aanspreekpunt in de EU. Of een exchange zo’n vergunning heeft, staat in het openbare register van de Europese toezichthouder ESMA.

Pas op na de schade: kort na een verlies melden zich vaak zogenaamde terughaaldiensten die tegen vooruitbetaling beloven de munten terug te halen. Dat is bijna altijd de tweede golf van oplichting. Serieuze onderzoekers en advocaten vragen nooit om je seed phrase of om een betaling in crypto.

Trust Wallet phishing: drie gewoontes tegen nep-walletsites

De site trastwallet[.]cam is geen losstaand geval, maar een patroon dat zich met elk nieuw domein herhaalt. Tegen de truc helpen minder speciale tools dan vaste gewoontes:

1. Een gecontroleerde app als vertrekpunt. Download je wallet alleen uit de officiële app store of van de site van de maker en open toepassingen vanuit de app.
2. Grotere bedragen offline. Wat je niet dagelijks nodig hebt, hoort op een apparaat waarvan de sleutels nooit met een website in aanraking komen. Geschikte apparaten vind je in onze vergelijking van hardware wallets.
3. Kopen en verkopen bij gereguleerde aanbieders. Voor de handel gebruik je een exchange met een vergunning in de EU en zet je alleen wat je zelf wilt bewaren over naar je wallet. Een selectie staat in onze vergelijking om bitcoin te kopen.

(Per 6 november 2026. Dit artikel is geen beleggingsadvies. Koersen en tarieven veranderen; controleer de voorwaarden bij de aanbieder voordat je koopt.)