Er is een groot probleem met Bitcoin-transacties vanuit zakelijk oogpunt waar bijna niemand het over heeft. Stel dat een bedrijf een leverancier betaalt in BTC vanaf een hergebruikte wallet-adres. Dan kan die leverancier verder kijken dan alleen de factuur.
Op dit moment, terwijl je dit leest, kan een concurrent een block explorer openen en precies zien wie je onlangs in Bitcoin hebt betaald — hoeveel, wanneer en aan welke tegenpartij. Transacties volgen is niet alleen een probleem voor mensen die iets te verbergen hebben. Het is een continu zakelijk risico: treasury-bewegingen, partnerrelaties en alle zakelijke deals liggen open voor iedereen die bereid is een middag te zoeken naar het spoor.
Het lijkt logisch om te denken dat deze blootstelling pas op de blockchain start, op het moment dat je de transactie ondertekent. Maar dat klopt niet. In juli 2026 hebben onderzoekers van de DistriNet-groep van KU Leuven 85 van de populairste browserextensie-wallets getest. Ze ontdekten dat de wallets zelf genoeg informatie lekken om gebruikers te volgen — nog voordat er een transactie is ondertekend.
De wallet stuurt een verzoek naar een externe server om je saldo te tonen, en dat verzoek bevat je adres in duidelijke tekst. Er is geen hack nodig; de extensies werken precies zoals ze ontworpen zijn. Van alle 85 wallets heeft deze fingerprint-kwetsbaarheid invloed op 36 wallets, goed voor ongeveer 82% van alle installaties die zijn onderzocht — op deze groep zijn alle volgende cijfers van toepassing.
En dit geldt zelfs voor mensen zonder kwade bedoelingen. Andy Greenberg heeft tien jaar lang crypto-criminaliteit onderzocht en verslag gedaan van hackers, dealers en witwassers die dachten dat de blockchain ze verstopte — alleen om te zien hoe onderzoekers ze er één voor één uitpikten. Het kostte hem tien jaar om in te zien hoe weinig ontraceerbaar Bitcoin eigenlijk is. Het grootboek dat hen moest beschermen, werd juist het bewijs om hen te veroordelen.
De valse zekerheid werkt maar één kant op — vooral mensen die denken dat ze genoeg gedaan hebben om privé te blijven, hadden eigenlijk niets te verbergen: een donateur wiens volledige schenkgeschiedenis nu openbaar is, een journalist wiens bronnen te achterhalen zijn via het betalingsspoor, de B2B-tegenpartij hierboven.
Vrijwel elk onderdeel hiervan overkomt jou, zonder dat je er zelf iets voor hoeft te doen. De rest van dit artikel brengt al deze risico’s in kaart — en geeft aan welke schakel je evt. wél zelf in de hand hebt.
Wat lekt er uit een wallet, buiten de transactie zelf om
Een crypto-wallet kan al informatie prijsgeven vóór je een transactie uitvoert. Om je saldo te tonen, vraagt een browser-wallet meestal gegevens op bij externe servers en stuurt daarbij je wallet-adres mee. Onderzoekers van KU Leuven testten 85 populaire browserextensie-wallets (zo’n 35 miljoen Chrome Web Store-installaties) en ontdekten dat je via 36 wallets — goed voor ongeveer 82% van de installaties — zo geïdentificeerd en gevolgd kon worden.
Bij zeventien wallets, samen goed voor zo’n 23 miljoen installaties, konden koppelingen gemaakt worden tussen verschillende adressen van dezelfde gebruiker. In 22 van de 36 getroffen wallets kon een website zelfs het adres blijven lezen, zelfs nadat de gebruiker toegang had ingetrokken en de browser opnieuw gestart had.
Er is nog een ander probleem. Websites kunnen vaak zien welke wallet-extensies iemand heeft geïnstalleerd, zelfs zonder dat de gebruiker zijn wallet verbindt. Onderzoekers ontdekten ook dat 23 van deze 36 wallets een adres konden lekken via content van een andere website, zonder dat de gebruiker ergens op klikte.
De meeste wallet-aanbieders die door de onderzoekers werden geïnformeerd, zagen dit niet als een ernstig probleem. Coinbase Wallet, Coin98 en Hana voerden aanpassingen door, maar andere partijen zoals MetaMask, Rabby en OKX deden dat niet. De onderzoekers testten bovendien 30 gedecentraliseerde apps. Slechts 11 daarvan trokken wallet-toegang daadwerkelijk in wanneer gebruikers op “disconnect” klikten of uitlogden.
Als een adres eenmaal zichtbaar is, levert de openbare blockchain de rest van de informatie.
Blockchain-analysebedrijven zoeken naar transactiepatronen waaruit blijkt dat meerdere adressen bij één persoon of organisatie horen.
Bijvoorbeeld: als wallets herhaaldelijk geld naar elkaar sturen of op vergelijkbare wijze handelen, kan software ze aan elkaar koppelen. Eén bekend adres geeft analisten dan toegang tot meerdere anderen.
Dit gebeurt op zeer grote schaal. Medio 2026 meldde Chainalysis dat zij meer dan 1 miljard blockchain-adressen had samengevoegd tot ruim 134.000 herkende entiteiten.
Geld verplaatsen tussen blockchains breekt de keten vaak niet. Analisten kunnen assets volgen via bridges tussen netwerken. Gebruikmaken van een decentrale exchange betekent niet automatisch dat de transactie verborgen blijft, want swaps worden nog steeds openbaar geregistreerd op de blockchain.
Dit alles maakt het eenvoudig: een wallet-adres lijkt een willekeurige reeks tekens, maar zodra er genoeg activiteit aan gekoppeld is, wordt het een uitgebreid financieel profiel.
Hiervan zijn echte voorbeelden. Na de ransomware-aanval op Colonial Pipeline in 2021 wisten Amerikaanse onderzoekers Bitcoins te volgen door meerdere wallets en konden ze zo ongeveer $2,3 miljoen van de $4,4 miljoen losgeld terughalen.
Helix: het mechanisme dat je niet voor de gek kunt houden door te verstoppen
In de beginjaren van Bitcoin was Helix erg populair op darknet-markten. Het was speciaal ontworpen om Bitcoin ontraceerbaar te maken. Larry Dean Harmon runde Helix als een tumbler van 2014 tot 2017: hij mixte coins van klanten om te verbergen waar het geld vandaan kwam, en verkocht het resultaat als “schone” bitcoin. Het hele doel was anonimiteit. Niets aan de dienst bestond buiten het verbreken van de link tussen de herkomst en het eindpunt van een coin.
Er ging zo’n 354.468 BTC door Helix heen, ongeveer $311 miljoen destijds, volgens Elliptic. De mix veranderde hoe het spoor eruit zag, maar verwijderde het spoor niet. Elke coin liet alsnog een permanent teken achter op de blockchain, iets dat achteraf niet aangepast of verwijderd kon worden.
Harmon nam een commissie van 2,5% op elke swap. Die commissie ging, net als elke andere coin, permanent op de chain. Het bedrag dat hij afroomde om een verbergservice te draaien, werd het bewijs dat uiteindelijk naar de eigenaar leidde. De dienst die juist bedoeld was om sporen te wissen, schreef de eigenaar in het spoor dat juist niet gewist kon worden.
Hoe een wallet-spoor aan een echt persoon wordt gekoppeld
Helix laat zien dat het verplaatsen van Bitcoin het spoor niet per se wist. Maar het volgen van het geld is maar de helft van het werk. Analisten moeten de wallet-adressen ook koppelen aan een echte persoon of bedrijf.
Dit gebeurt meestal wanneer geld een gereguleerde crypto-exchange raakt. Exchanges weten welke depositoadressen bij hun klanten horen en bewaren identiteitsgegevens via KYC-controles. Als onderzoekers Bitcoin naar zo’n adres herleiden, kunnen ze via een juridische procedure de accountinformatie opvragen.
Die ene koppeling kan veel meer onthullen dan één transactie. Als blockchain-analyse al meerdere adressen heeft gekoppeld als waarschijnlijk van dezelfde eigenaar, kan het identificeren van één adres de hele groep een naam geven. De exchange weet alleen van het adres dat hun platform heeft geraakt, maar de eerdere analyse kan dat met de rest verbinden.
Soms is een juridische aanvraag niet eens nodig. Mensen en bedrijven publiceren zelf regelmatig wallet-adressen, bijvoorbeeld op websites, donatiepagina’s, Telegram-chats of openbare profielen. Zodra een adres openbaar aan een naam is gekoppeld, zijn alle eerdere transacties ook zichtbaar.
Voor bedrijven levert dit een basis privacyprobleem op. Een betaling aan een leverancier kan eerdere betalingen, treasury-bewegingen en andere tegenpartijen onthullen. Omdat blockchain-transacties permanent en voorzien van een tijdstempel zijn, kan één bekend wallet-adres jaren aan activiteiten inzichtelijk maken.
Waar blockchain-tracing de fout in kan gaan
Dat betekent niet dat blockchain-analyse altijd juist is.
De systemen om wallets te koppelen, vertrouwen sterk op patronen en waarschijnlijkheid. Ze kunnen valse positieven en valse negatieven opleveren: onschuldige activiteiten kunnen als verdacht gemarkeerd worden, terwijl verdachte activiteiten juist onopgemerkt blijven.
Een probleem is de transactiegeschiedenis. Bitcoin kan door veel eigenaren zijn gegaan. Als coins eerder door een mixer of een ‘risico-wallet’ gingen, kan een latere eigenaar voor die eerdere activiteiten worden verdacht, zonder daar iets mee te maken te hebben.
Zo had een gedocumenteerde P2P-koper een bevroren account, omdat de Bitcoin die hij kreeg eerder door een mixer was gegaan.
Voor exchanges en andere gereguleerde bedrijven hebben deze fouten praktische gevolgen. Een valse melding kan tegoeden van een legitieme klant blokkeren en compliance- en supportproblemen veroorzaken.
Er zijn ook grenzen aan wat tracing-bedrijven kunnen zien. Privacygerichte cryptocurrencies zoals Monero zijn veel moeilijker te volgen. Onderzoeken stoppen ook als geld aankomt bij exchanges in landen die niet willen meewerken.
Zelfs de grootste blockchain-analysebedrijven hebben grote correcties gedaan. Begin 2025 verlaagde Chainalysis hun schatting van crypto die door Noord-Korea was gestolen van $1 miljard naar $660,5 miljoen — een correctie van meer dan $300 miljoen na het opnieuw beoordelen van verschillende hacks.
De betrouwbaarheid van deze systemen is ook ter discussie gesteld in de rechtbank. Verdedigingsteams, bijvoorbeeld in zaken van Bitcoin Fog en Tornado Cash, vroegen zich af hoeveel waarde gehecht moet worden aan analyses van gesloten software die niet volledig kan worden gecontroleerd door buitenstaanders.
Die controle is belangrijk, want Chainalysis is ook een grote contractor voor de Amerikaanse overheid. Onafhankelijk onderzoek op basis van federale gegevens liet zien dat het bedrijf meer dan $93,2 miljoen aan overheidsopdrachten heeft ontvangen.
Het grootste risico van een fout treft onschuldige gebruikers. Een verkeerde koppeling kan een account blokkeren. In landen met minder bescherming kunnen deze traceertools donateurs, journalisten of mensen die politieke oppositie steunen, blootstellen. Blockchain-tracing kan veel onthullen, maar het resultaat moet nooit automatisch als correct worden gezien.
Het ene deel van het spoor dat gebruikers nog kunnen controleren
Het grootste deel van de blootstelling hierboven gebeurt buiten de controle van de gebruiker. Wallets kunnen adressen lekken voordat een transactie plaatsvindt. Blockchain-analyse kan meerdere adressen koppelen en gereguleerde exchanges kunnen die linken aan een echte identiteit met KYC-gegevens.
Het deel dat gebruikers nog wel zelf kunnen controleren, is de directe link tussen verzender en ontvanger. Wanneer één wallet een andere betaalt, wordt dat permanent op de chain vastgelegd en kunnen zo later tegenpartijen, treasury-bewegingen en zakelijke relaties zichtbaar worden.
ChangeNOW lanceerde Private Transfers om die directe link te verwijderen. De functie stuurt een betaling via een eenmalig tussenadres, zodat de ontvanger het geld niet rechtstreeks van de verzender krijgt. Het breekt het zichtbare pad tussen verzender en ontvanger, zonder te beweren dat de hele transactie anoniem is.
Andere blootstelling blijft bestaan. Wallet-metadata kan nog steeds lekken, blockchain-analyse kan omliggende activiteit blijven volgen en AML-controles gelden nog steeds bij het storten, overmaken en uitbetalen van geld.
Voor API-partners is Private Transfers een optionele functie binnen de bestaande transfer-infrastructuur. Het gebruikt dezelfde API-key en het commissie-model, en er is geen apart product of integratie nodig. Het doel is kleiner: de ene zichtbare link verwijderen die gebruikers daadwerkelijk zelf kunnen vermijden.
Conclusie
Ga terug naar het begin. Andy Greenberg dacht jarenlang dat de blockchain gebruikers onzichtbaar maakte, maar kwam uiteindelijk tot het tegenovergestelde conclusie: “het kostte me tien jaar om in te zien hoe tegenovergesteld van ontraceerbaar Bitcoin eigenlijk is.” Dat is waar het hele artikel op gebouwd is. Volledige ontraceerbaarheid bestaat niet. De wallet lekt, de chain registreert en het cluster wordt uiteindelijk aan een naam gekoppeld.
Dat is het belangrijkste om te onthouden voor een partner. Niet anonimiteit, want een decennium aan getraceerde coins laat zien dat dit eerder een verhaal dan een eigenschap is. Wel een duidelijk begrip van welke laag afgesloten wordt en welke open blijft. Private Transfers verwijdert de ene schakel die de gebruiker zelf kan aanmaken.
