De Grootste Crypto Hacks Aller Tijden (Bijgewerkt 2026)

Waarom crypto op grote schaal wordt gehackt

Tientallen miljarden dollars aan cryptovaluta zijn gestolen sinds de vroegste Bitcoin-exchanges hun deuren openden. Het tempo is niet afgenomen: 2022 was het slechtste jaar ooit voor cryptodiefstal, en 2025 begon met de grootste exchange-hack uit de geschiedenis toen Bybit $1,46 miljard verloor in één enkele transactie. Cryptovaluta is uniek aantrekkelijk voor aanvallers omdat transacties onomkeerbaar zijn, identiteiten pseudoniem zijn, en zelfs een redelijk goed gefinancierd team code kan schrijven die honderden miljoenen dollars beheert. Hot wallets bij gecentraliseerde exchanges vormen geconcentreerde pools van private keys die dag en nacht online staan, en één gecompromitteerde sleutel kan een volledige treasury leegdraaien.

Meerdere factoren vergroten het risico. Smart contract-code is onveranderlijk zodra hij is uitgerold, waardoor één logische fout een permanente kwetsbaarheid wordt. Cross-chain bridges moeten externe validators of cryptografische bewijzen vertrouwen, en beide kunnen worden gemanipuleerd. Door de staat gesponsorde groepen, met name de Noord-Koreaanse Lazarus Group, hebben cryptodiefstal omgevormd tot een strategische inkomstenbron die naar verluidt wapenprogramma’s financiert. De FBI en meerdere blockchain-inlichtingenbedrijven hebben Lazarus miljarden aan verliezen toegeschreven, met aanvallen variërend van via LinkedIn opgezette social engineering-campagnes tot verfijnde multisig UI-vergiftiging die menselijke ondertekenaars misleidt om kwaadaardige transacties goed te keuren.

Alle grote hacks, nieuwste eerst

De onderstaande tabel geeft een overzicht van de grootste bevestigde cryptodiefstallen en exploits ooit geregistreerd, van meest recent naar oudst.

Deze tabel bevat uitsluitend bevestigde diefstallen. Sommige van de meest alarmerend recente incidenten werden onderschept voordat er ook maar één token bewoog. In juni 2026 maakten Zcash-ontwikkelaars een kritieke vervalsingsfout in de Orchard shielded pool openbaar die al zo’n vier jaar onopgemerkt was gebleven, waarna deze via een noodharde fork werd gepatcht nadat een beveiligingsaudit hem blootlegde. Er is nooit bewezen dat er ZEC werd gestolen, toch daalde de koers scherp op het nieuws. Een herinnering dat bij privacy-preserving systemen de loutere mogelijkheid van een ondetecteerbaar exploit bijna net zo schadelijk kan zijn als een bevestigde inbreuk.

De drie favoriete doelwitten

Over de gehele tijdlijn zijn drie categorieën verantwoordelijk voor het overgrote deel van de verliezen. Het oudste en meest hardnekkige doelwit is de gecentraliseerde exchange, waar private keys die gezamenlijke klantentegoeden beschermen dag en nacht online en toegankelijk zijn. Van Mt. Gox in 2014 tot Bybit in 2025 is de kern van de aanvalsmethode nauwelijks veranderd: verkrijg de sleutel, leeg de wallet. Exchanges hebben multisig-wallets, hardware security modules en opname-whitelists toegevoegd, maar elk extra beveiligingsniveau creëert ook een nieuw aanvalsoppervlak. Een gecompromitteerde signing-UI, een via social engineering benaderde medewerker of een gestolen API-credential kan jarenlange beveiligingsinvesteringen in minuten tenietdoen.

Cross-chain bridges kwamen in 2022 naar voren als de dominante verliescat egorie, goed voor miljarden dollars in één enkel jaar. Bridges vormen een inherent complexe beveiligingsuitdaging: ze moeten activa op één keten vergrendelen en representaties op een andere minten, waarbij ze vaak vertrouwen op een kleine groep validators of een cryptografisch bewijsmechanisme. Compromitteer één kritieke schakel in die keten en de volledige vergrendelde pool ligt bloot. De Ronin Network-hack, de Wormhole-exploit, de Nomad-plundering en het BNB Chain bridge-incident sloegen allemaal toe binnen twaalf maanden van elkaar. De gecumuleerde verliezen uit bridge-hacks in de tabel bedragen meerdere miljarden dollars, meer dan welke andere categorie ook.

DeFi-protocollen vormen de derde grote doelwitcategorie, waarbij flash loans het favoriete gereedschap zijn. Flash loans stellen een aanvaller in staat om binnen één transactieblok tientallen of honderden miljoenen dollars te lenen, die fondsen te gebruiken om orakelprijzen te manipuleren of bestuursstemmen te kopen, de lening vervolgens terug te betalen en de winst op te strijken zonder enig startkapitaal. The DAO in 2016 vestigde het patroon met een reentrancy-aanval. Beanstalk Farms in 2022 toonde aan dat zelfs governance als wapen kan worden ingezet wanneer die geen flash loan-bestendige stemtelling heeft. Euler Finance in 2023 bewees dat zelfs geauditeerde code logische fouten kan bevatten die subtiel genoeg zijn om onopgemerkt te blijven totdat iemand met een grote genoeg flash loan ze vindt. Over alle drie de categorieën heen is Lazarus Group de meest productieve individuele actor gebleken, met social engineering, sleuteldiefstal en verfijnde witwasinfrastructuur om fondsen op een schaal te onttrekken en wit te wassen die geen enkele andere criminele groepering heeft geëvenaard.

De vijf grootste hacks aller tijden

De vijf grootste individuele incidenten vertellen het verhaal van hoe de crypto-beveiligingsdreigingen zich in een decennium hebben ontwikkeld. Mt. Gox, de in Tokio gevestigde exchange die in februari 2014 failliet ging, verloor zo’n 650.000 BTC aan een sluipende leegloop die jarenlang had gelopen voordat iemand het opmerkte. Dit legde het catastrofale risico bloot van één enkele hot wallet zonder enige zinvolle monitoring. Coincheck, een andere Japanse exchange, herhaalde een opvallend vergelijkbare fout in januari 2018 toen $530 miljoen aan NEM-tokens werd gestolen uit een hot wallet zonder zelfs maar basale multisig-beveiliging. Beide incidenten leidden tot grote regelgevende hervormingen in Japan. Daarna volgde het bridge-tijdperk: de $611 miljoen-hack van Poly Network in augustus 2021 werd de grootste cryptodiefstal ooit geregistreerd, om binnen een jaar te worden overtroffen door de $540 miljoen-inbreuk bij Ronin Network, waarbij Lazarus Group zes dagen lang controle had over de bridge voordat iemand doorhad dat de fondsen verdwenen waren. Tot slot verloor Bybit in februari 2025 $1,46 miljard in één transactie aan een UI-aanval die zo verfijnd was dat ze ervaren menselijke ondertekenaars bedroog die meenden een legitieme multisig-goedkeuring te controleren. Elke recordhouder weerspiegelde de dominante infrastructuur van zijn tijd en heeft telkens opnieuw geherdefinieerd hoe de sector denkt over bewaring en sleutelbeheer.

Hoe je je crypto beschermt

• Bewaar langetermijnbezittingen op een hardware wallet die private keys offline houdt en voor elke transactie fysieke bevestiging vereist.
• Schrijf je seed phrase op papier en bewaar hem veilig offline. Maak er nooit een foto van, typ hem nooit in op een website en deel hem met niemand, inclusief medewerkers van de klantenservice.
• Controleer website-URL’s zorgvuldig voordat je een wallet verbindt of een transactie ondertekent. Sla de officiële adressen van de platforms die je gebruikt op als bladwijzer en blijf alert op phishing-sites die slechts één teken verschillen of look-alike-domeinen gebruiken.
• Schakel tweefactorauthenticatie in via een authenticator-app in plaats van sms. SIM-swap-aanvallen hebben meerdere grote diefstallen mogelijk gemaakt, waaronder de ongeautoriseerde $477 miljoen FTX wallet-plundering in november 2022.
• Bewaar op een exchange alleen de tegoeden die je nodig hebt voor actieve handel. Activa die op een platform staan, zijn volledig afhankelijk van de beveiliging van die exchange, niet van die van jou.
• Trek ongebruikte tokengoedkeuringen regelmatig in. Tools die je on-chain-machtigingen controleren, kunnen toegang verwijderen die is verleend aan contracten die je niet meer gebruikt, waardoor een veelvoorkomend aanvalsoppervlak wordt geëlimineerd dat ook bij hacks zoals BadgerDAO werd misbruikt.
• Verifieer voor het ondertekenen van een transactie het contractadres, het bedrag en de ontvanger onafhankelijk, niet alleen in de wallet-UI, die zelf gecompromitteerd kan zijn, zoals de Bybit- en BadgerDAO-aanvallen hebben aangetoond.

Conclusie

Tegen 2026 ziet het crypto-beveiligingslandschap er wezenlijk anders uit dan in 2014. Verplichte smart contract-audits, formele verificatie, multi-party computation voor sleutelbeheer, bug bounty-programma’s en voorzichtiger bridge-ontwerpen met time-locked opnames zijn allemaal standaard geworden bij serieuze projecten. Toezichthouders in Japan, de EU en de VS hebben vereisten opgelegd die exchanges sturen naar minimale cold-storage-drempels en verzekeringsreserves. Blockchain-analysebedrijven kunnen gestolen fondsen sneller dan ooit traceren en bevriezen, en de toerekening op staatsniveau van Noord-Koreaanse hacks is verschoven van speculatie naar officiële FBI-aanklachten. Toch is het tempo van diefstal niet wezenlijk gedaald, want de inzet blijft stijgen en verfijnde aanvallers passen zich aan bij elk nieuw beveiligingsprotocol.

De hardste les die de sector maar blijft herhalen, is dat crypto’s kernkenmerk, de onomkeerbaarheid die het waardevol maakt als afwikkelingslaag, ook is wat elke diefstal permanent maakt. Er is geen centrale autoriteit die een transactie kan terugdraaien, geen depositoverzekering die fondsen automatisch herstelt, geen fraudeafdeling om te bellen. Die verantwoordelijkheid ligt bij gebruikers en bouwers gelijkelijk. Voor individuen is de praktische conclusie eenvoudig: de veiligste crypto is crypto in zelfbeheer met degelijk sleutelbeheer, zoals in detail besproken in onze gids over de top 10 hardware wallets voor cryptovaluta-beveiliging. De hacks in deze tabel zijn geen waarschuwende verhalen over cryptovaluta zelf, maar over de aanhoudende kloof tussen hoe veilig activa bewaard kunnen worden en hoe onvoorzichtig dat soms gebeurt.