Op 29 oktober verlieten er binnen ongeveer twintig minuten $6,3 miljard uit de wallets van Binance. Dit was de grootste crypto-diefstal in de geschiedenis, meer dan vier keer zo groot als de Bybit-hack van februari 2025.
Volgens de crypto exchange zelf werd de toegang verkregen via de computer van een ingenieur, die besmet raakte na een nep-sollicitatiegesprek.
Twee dagen later meldde Binance dat het 98% van de assets had hersteld met eigen fondsen. De volgende dag werden opnames weer hervat.
Onthoud vooral dát laatste feit. Het is het belangrijkste, maar wordt het minst besproken.
Voor wie alleen een hamer heeft, lijkt elk probleem op een spijker
Mt. Gox, 2014. QuadrigaCX, 2019. FTX, 2022. Bybit, 2025. Binance, 2026. Dit zijn slechts enkele van de bekendste namen. Verschillende problemen, altijd hetzelfde antwoord: self-custody, want uiteindelijk geldt: not your keys, not your coins.
De basis hiervan is technisch waar. Als je niet de private key hebt, heb je geen controle over de asset: je hebt dan alleen een vordering op degene die dat wel heeft.
Toch volgt daar meestal niet uit dat self-custody altijd veiliger zou zijn.
Het kerkhof van de verslagenen is stil, tenzij de verslagene heel groot is
Als een crypto exchange wordt aangevallen, ziet de hele wereld het. Er staan miljarden op het spel, er komt een officieel statement en het nieuws gaat de wereld over.
Maar als een individu alles verliest, merkt bijna niemand het op. Zelfs als het verlies on-chain is, dus openbaar, wie van het grote publiek volgt blockchain-onderzoeken?! Het grote publiek volgt het nieuws in de media.
Veel van deze slachtoffers doen niet eens aangifte bij de politie, uit schaamte of ongeloof.
Voor onderzoekers is het beeld bekend: het slachtoffer meldt zich met transactiehashes in de hoop dat iemand “de bitcoins kan bevriezen.”
En, tenzij alles perfect samenvalt (een slachtoffer dat snel en volledig rapporteert, een deskundige ambtenaar, gestolen fondsen die bij een bevriesbare exchange terechtkomen), is de uitkomst slecht.
Aanvallen op grote exchanges komen niet het vaakst voor. Het zijn gewoon de gevallen die iedereen ziet.
Een speciale selectie van self-custody risico’s
Het geven van de seed. Op 10 januari 2026 las een investeerder de herstelzin van zijn hardware wallet voor aan een oplichter die zich voordeed als Trezor-support. Hij verloor 1.459 BTC en 2,05 miljoen LTC, meer dan $282 miljoen. Het apparaat werkte prima. De eigenaar niet.
Seed-lek. Een foto op je telefoon, een notitie in de cloud, een e-mail naar jezelf. Niemand hoefde om de woorden te vragen: ze lekten vanzelf.
Signature phishing. Je ondertekent een off-chain bericht waarmee derden jouw tokens mogen verplaatsen, en ze vertrekken zodra de aanvaller wil. Stel je een blanco cheque voor, ondertekend en vergeten in de la van een vreemde. Alleen al in januari 2026 bedroeg de schade $6,3 miljoen.
Het ironische is: de Binance-hack verliep ook via handtekeningen. Het systeem van de exchange werd misleid om vijftig autorisaties tegelijk te tekenen, en één daarvan was genoeg om de aanvaller een wallet te geven waarmee $2,2 miljard in één transactie werd verloren.
Wrench attack. De naam komt van het gereedschap. Geen enkele cryptografie beschermt je tegen fysieke bedreiging van jou of je familie. In de eerste helft van 2026 telde CertiK er 52, samen goed voor $124 miljoen; 33 alleen al in Frankrijk.
Address poisoning. De oplichter plaatst in je transactiegeschiedenis een adres dat bijna identiek is aan het echte. Bij je volgende transactie kopieer je dan per ongeluk het verkeerde adres. Alleen al in januari leverde één zo’n geval $12,25 miljoen schade op.
Apparaatfout. Op 29 juli raakten ColdCard-gebruikers die hun device nooit aan het internet verbonden hadden, hun fondsen kwijt door een fout in de willekeurigheid bij de sleutelgeneratie. Meer dan duizend bitcoins. Ik analyseerde het geval in “Not your keys, not your coins — but do you know how your keys are generated?“.
Let op: in elk geval heeft het slachtoffer iets of iemand vertrouwd. De hulplijn, de cloud, de website, hun eigen inschatting, de transactiegeschiedenis, de firmware. En steeds vertrouwden ze op hun eigen kunnen.
Self-custody of exchange? De valse tegenstelling
Elke vorm van opslag brengt risico met zich mee. Wie crypto-assets op een exchange laat staan, vertrouwt op het bestuur en de solvabiliteit van dat platform. Wie kiest voor self-custody, vertrouwt op zichzelf, het apparaat, de software en iedereen die weet dat je bitcoin bezit. Het probleem is het erkennen van het eerste risico en het negeren van het tweede.
Er bestaat geen optie zonder vertrouwen. Je hebt bewust vertrouwen en genegeerd vertrouwen. En het duurste risico is het risico dat je niet ziet.
Niemand zou al zijn vermogen onder een matras moeten bewaren, maar ook niet alles bij één bank.
Met crypto-assets geldt dezelfde logica: een deel op een betrouwbare exchange (of op drie exchanges), een deel in goede self-custody, een deel in ETF’s — bijvoorbeeld 30%, 40% en 30%.
De verdeling hangt af van jouw kennis, jouw profiel en jouw doelen. Die verantwoordelijkheid kun je niet afschuiven. Sorry voor het slechte nieuws, maar beter nu dan later.
The day after tomorrow
Verantwoordelijkheid verkleint risico’s, maar neemt ze niet weg. Vraag jezelf dus niet alleen af: “welke optie is het veiligst voor mij?”, maar ook: “wat gebeurt er met mij na een aanval?”
Bij self-custody kun je niemand bellen. In januari werd er meteen begonnen met het omzetten van de $282 miljoen naar Monero (BTC, BTC, LTC). Bevriezingen vinden plaats zodra geld een stablecoin-uitgever of een exchange raakt. Volledig herstel is zeldzaam.
Bij een exchange is er een tegenpartij. Bybit herstelde de dekking van zijn klanten binnen drie dagen. Bitget compenseerde het verlies van $388 miljoen in september via het eigen beschermingsfonds.
Binance nam 100% van het verlies voor haar rekening en heeft al 98% terugbetaald. Dit kun je verifiëren in hun proof of reserves.
Een tegenpartij is natuurlijk alleen waardevol als die partij solvabel is. En je krijgt niet altijd exact terug wat je had.
Mt. Gox-schuldeisers wachtten tien jaar en kregen ongeveer 15% van hun bitcoins terug. Omdat de koers in die periode flink steeg, was dat kleine deel toch vaak meer waard dan hun hele saldo uit 2014.
FTX-schuldeisers kregen geld, niet de crypto-assets van hun rekeningen: ongeveer 120% van de waarde op het moment van het faillissement in november 2022, met bitcoin rond de $16.000. Dit was meer dan hun assets toen waard waren, maar veel minder dan ze nu waard zouden zijn.
Daarom zijn de Resoluties 519, 520 en 521 van de Braziliaanse Centrale Bank (BCB) voor 2025 zo belangrijk.
Voor investeerders is het belangrijkste niet dat een exchange verantwoording moet afleggen aan de Centrale Bank, maar aan welke eisen het bedrijf moet voldoen: klanttegoeden moeten gescheiden zijn van het eigen vermogen, in aparte wallets met bewijs van reserves en onafhankelijke audits, en mogen niet gebruikt worden voor de bedrijfsactiviteiten van het platform.
Het belangrijkste
Not your keys, not your coins is een slogan over controle, niet over veiligheid.
Mensen die al hun vermogen van exchanges halen, stoppen niet met vertrouwen. Ze verplaatsen dat vertrouwen gewoon — meestal naar zichzelf — zonder zich af te vragen of dat wel terecht is.
Opslag betekent niet kiezen wie je niet vertrouwt. Het draait erom dat je bewust kiest wie en wat je vertrouwt.
