972 miljoen dollar gestolen uit crypto: sleutels en bestuur zijn groter risico dan code

Dit jaar verdwenen ongeveer 972 miljoen dollar uit cryptoprojecten door inbreuken. De grootste bedreiging komt echter niet van fouten in slimme contracten, maar van gestolen privésleutels, zwakke governance en centralisatie.

Waar het geld werkelijk weglekt

Een aanvaller bracht in mei zo'n 20 miljoen dollar weg uit BonkDAO door simpelweg genoeg tokens te kopen en een voorstel erdoor te stemmen. De code werkte feilloos – het systeem was het probleem. Dezelfde maand verloor Humanity Protocol meer dan 30 miljoen dollar nadat een privésleutel op een computer van een teamlid werd gestolen.

Deze patronen herhalen zich. Bij onderzoek van 425 inbreuken tussen 2021 en 2025 bleek dat 54,6 procent van alle gestolen bedragen in de periode 2024-2025 afkomstig was van compromissen met sleutels en handtekeningen, niet van codefouten.

Audits zijn niet genoeg

Het klassieke antwoord – het laten controleren van code door veiligheidsexperts – lost dit niet op. Een protocol dat elf keer werd geaudit, verloor toch 128 miljoen dollar. Een audit is een momentopname: het zegt niets over wie de sleutels controleert, hoe ze worden opgeslagen of wat gebeurt als een laptop wordt gehackt.

De werkelijke vooruitgang komt van voortdurende druk. Bug-bounty-programma's die onderzoekers betalen om kwetsbaarheden voor aanvallers te vinden, werken beter. Een mediane vergoeding van 20.000 dollar voorkómt gemiddeld een inbreuk van 25 miljoen dollar.

Het antwoord: voortdurende waakzaamheid

Echte veiligheid betekent dat code, sleutels, medewerkers, stemregels en monitoring allemaal als levend aanvalsoppervlak worden behandeld. Niet één audit, maar continue tests door betaalde beveiligingsonderzoekers. Totdat dit principe ook voor governance en sleutelbeheer geldt, zullen catastrofale verliezen zich herhalen.