Je klikt op een link, koppelt je wallet, en even later is je saldo leeg. Geen gehackte exchange, geen gestolen wachtwoord: gewoon een handtekening die je zelf hebt gezet. Crypto phishing werkt bijna nooit door een systeem te kraken. Het werkt door jou iets te laten doen wat op dat moment volkomen normaal aanvoelt. Vier technieken zie je het vaakst terug, en ze verschillen behoorlijk in wat je er nog aan kunt doen zodra je erachter komt.
Het korte antwoord: wat je goedkeurt, bepaalt of het te herstellen is
De vier trucs achter crypto phishing, een nep-extensie, adresvervanging via je klembord, een nagebouwde inlogpagina en valse support, lijken losse problemen. Dat zijn ze niet. Ze werken allemaal via hetzelfde lek: een handeling die jij zelf uitvoert, niet een systeem dat wordt gekraakt.
Dat onderscheid is meer dan theorie. Deel je je seed phrase met een nep-extensie, dan is je wallet blijvend gecompromitteerd. Er is geen reset. Teken je daarentegen een goedkeuring op een nagebouwde inlogpagina, dan bestaat er soms nog een kort venster om die goedkeuring in te trekken voordat een aanvaller hem gebruikt. Dat verschil, tussen definitief verlies en een venster waarin je nog iets kunt doen, is precies wat de meeste uitleg over phishing overslaat.
Nep-extensie: een wallet die eruitziet als de jouwe
Een nep-walletextensie is geen gehackte versie van een bekende extensie. Het is een losse, kwaadaardige extensie die in naam, icoon en interface bijna identiek oogt, en die je zelf installeert via de browserwinkel zelf.
Eenmaal geïnstalleerd doet hij een van twee dingen. Sommige varianten vragen je direct om je seed phrase in te voeren, onder het mom van “wallet herstellen” of “importeren”. Andere varianten zijn subtieler: ze draaien naast je echte wallet, onderscheppen wat je typt, of wijzigen op de achtergrond het ontvangende adres van een transactie voordat je hem ondertekent.
Beveiligingsonderzoekers van Socket brachten in augustus 2026 twee losse campagnes aan het licht: 77 gelinkte extensies in de Firefox-winkel, waarvan 40 bevestigd kwaadaardig, en apart daarvan 19 extensies met een wallet drainer in de officiële winkels van Chrome en Edge. Geen van beide campagnes vereiste dat gebruikers iets fout deden buiten het installeren zelf: de extensies stonden gewoon in de officiële winkel.
Is je seed phrase eenmaal ingevoerd in zo’n extensie, dan valt er niets meer te herstellen. Je private key is bekend bij een ander, en dat verandert niet meer. De enige stap die dan nog zin heeft, is een nieuwe wallet aanmaken en je resterende bezit daarheen overzetten, voor de aanvaller dat zelf doet.
Klembord-adresvervanging: address poisoning zet je geheugen tegen je
Bij deze truc valt de aanvaller niet je apparaat aan, maar je gewoonte. Er zijn twee varianten die vaak door elkaar worden genoemd, en het verschil is de moeite waard om te kennen.
Clipboard hijacking, ook wel clipper-malware, luistert op je apparaat mee met wat je kopieert. Herkent het een tekenreeks die op een cryptoadres lijkt, dan vervangt het die op de achtergrond door een adres van de aanvaller, nog voor je hem plakt. Je ziet op je scherm nog steeds jouw eigen invoer, tot het moment dat je het geplakte adres controleert.
Address poisoning werkt zonder malware, puur via je transactiegeschiedenis. De aanvaller stuurt een piepklein bedrag, vaak minder dan een dollarcent, vanaf een adres dat is gemaakt om sterk te lijken op een adres waarnaar jij eerder echt hebt overgemaakt. Dat vervuilde adres staat vervolgens gewoon tussen je echte contacten in je walletadres-geschiedenis. Kopieer je de volgende keer per ongeluk dat adres in plaats van het juiste, dan gaat je overboeking naar de aanvaller.
TRM Labs documenteerde op het TRON-netwerk een geval waarbij een enkel vervuilend adres ongeveer 920 uitgaande transacties verstuurde, en waarbij een los activeringsadres zo’n 4.800 accountaanmaak-transacties genereerde, wat wijst op geautomatiseerde massaproductie van dit soort adressen. In een gedocumenteerd voorbeeld volgde de vervalste transactie slechts 18 seconden na de echte (bron: TRM Labs, “Understanding Address Poisoning on the TRON Blockchain”, gepubliceerd 22 oktober 2025, geraadpleegd 10-09-2026).
Beide varianten zijn onomkeerbaar zodra het geld onderweg is: een blockchaintransactie kent geen terugboeking. En omdat sommige vervalste adressen zijn gebouwd om ook de laatste tekens te laten kloppen, is alleen het begin en einde van een adres controleren niet meer genoeg.
Nagebouwde inlogpagina: de wallet drainer die je zelf activeert
Een wallet drainer draait niet om een gestolen wachtwoord. Het is een kopie van een bekende site, vaak een dApp, een NFT-mint of een exchange-inlogscherm, die je vraagt om je wallet te koppelen. Tot daar lijkt het op duizend legitieme sites.
Het verschil zit in de transactie die daarna verschijnt. In plaats van een simpele login vraagt de site om een goedkeuring, technisch een approval of een permit-handtekening, die de aanvaller het recht geeft om (een deel van) je tokens over te maken. Je wallet toont dit als een gewone transactie om te ondertekenen, niet als een waarschuwing.
Chainalysis beschrijft hoe zulke sites zich voordoen als legitieme Web3-projecten en worden verspreid via nepverwijzingen in Discord-servers, gehackte social-media-accounts en valse airdrops, in een gedocumenteerd geval zelfs via een nepsite die zich voordeed als een Amerikaanse toezichthouder. Gestolen tegoeden gaan volgens dat onderzoek steeds vaker naar mixing-diensten en DeFi-platforms, en steeds minder vaak rechtstreeks naar beurzen (bron: Chainalysis, “Understanding Crypto Drainers”, gepubliceerd 16 mei 2024, geraadpleegd 10-09-2026).
Dit is de techniek met het kleinste beetje speling. Heb je de goedkeuring getekend maar heeft de aanvaller je tegoed nog niet leeggetrokken, dan kun je die goedkeuring intrekken via een revoke-tool die per walletadres laat zien welke rechten je hebt afgegeven. Is het geld al overgeboekt, dan geldt hetzelfde als bij elke andere cryptotransactie: definitief.
Valse support: de hulp die zelf het probleem is
De vierde vorm van phishing komt niet via een link, maar via een gesprek. Een account dat zich voordoet als klantenservice van een wallet, een exchange of zelfs een toezichthouder, neemt contact op via Discord, Telegram of telefoon, en biedt aan te helpen. Soms gebeurt dat na een eerdere phishingpoging: dan doet de “helper” zich voor als een partij die je gestolen crypto kan terughalen, en vraagt daarvoor eerst een bedrag vooraf of toegang tot je apparaat.
De AFM waarschuwde in mei 2026 specifiek voor het spoofen van het eigen telefoonnummer van de toezichthouder: oplichters bellen alsof ze de AFM zijn en proberen zo rekeninggegevens en wachtwoorden los te peuteren. De toezichthouder stelt het zelf hard: de AFM vraagt nooit om rekeningnummers of wachtwoorden, en al helemaal niet om geld of crypto over te maken (bron: AFM, “Waarschuwing voor oplichting door misbruik telefoonnummer van de AFM”, gepubliceerd 20 mei 2026, geraadpleegd 10-09-2026).
Wat hier herstelbaar is, hangt volledig af van wat je hebt gedeeld. Heb je alleen gepraat en niets overgemaakt of getekend, dan is er niets weg, al is het verstandig gedeelde wachtwoorden alsnog te wijzigen. Heb je toegang tot je apparaat gegeven of je seed phrase gedeeld, dan geldt hetzelfde als bij de nep-extensie: definitief.
Wat je nog kunt doen als het al is gebeurd
| Techniek | Wat de aanvaller krijgt | Nog te herstellen? |
|---|---|---|
| Nep-extensie | Seed phrase of private key | Nee, wallet is blijvend gecompromitteerd |
| Klembord-adresvervanging | Een foutief geadresseerde overboeking | Nee, transactie is definitief |
| Nagebouwde inlogpagina (drainer) | Een goedkeuring voor tokenoverdracht | Soms, als je de goedkeuring op tijd intrekt |
| Valse support | Varieert: wachtwoord, toegang of een overboeking | Afhankelijk van wat precies is gedeeld |
Bij drie van de vier technieken is de schade definitief zodra hij is toegebracht. Alleen bij een wallet drainer bestaat er een kort venster, tussen het tekenen van de goedkeuring en het moment waarop een aanvaller hem daadwerkelijk gebruikt. Dat venster is de reden waarom het de moeite waard is om periodiek te checken welke goedkeuringen je walletadres heeft openstaan, ook voor sites die je allang bent vergeten.
Een hardware wallet verandert niets aan deze volgorde, maar maakt hem wel zichtbaarder: elke transactie, ook een approval, moet je op het scherm van het apparaat zelf bevestigen. Dat dwingt een laatste controlemoment af dat een nep-extensie op je computer juist probeert te omzeilen. Bij een seed phrase die eenmaal is gedeeld, helpt geen enkele extra stap meer: die sleutel is en blijft gecompromitteerd.
Veelgestelde vragen
Wat kun je nog doen als je al een goedkeuring hebt getekend voor een kwaadaardige transactie?
Heb je al een goedkeuring getekend op een nagebouwde site, dan is het geld meestal nog niet meteen weg: de aanvaller moet de toegekende rechten nog gebruiken. Trek de goedkeuring daarom zo snel mogelijk in via een revoke-tool die per walletadres laat zien welke rechten openstaan, en doe dat vanaf een schoon apparaat, niet vanaf de computer waar de phishingsite op openstond.
Hoe herken je een nep-walletextensie voordat je hem installeert?
Een nep-walletextensie herken je meestal aan een naam die net iets afwijkt van het origineel, een handvol downloads terwijl de echte extensie er miljoenen heeft, en een ontwikkelaar zonder geverifieerde website. Installeer een extensie daarom alleen via de link die op de officiële site van de walletmaker zelf staat, nooit via een zoekresultaat of advertentie.
Kun je geld terugkrijgen dat je door address poisoning naar het verkeerde adres hebt gestuurd?
Nee, een overboeking naar een adres dat via address poisoning in je geschiedenis is beland, is net zo definitief als elke andere cryptotransactie: er is geen partij die hem kan terugdraaien. De bescherming zit in de stap ervoor: controleer bij elke overboeking het volledige adres, niet alleen het begin en het einde.
Helpt tweestapsverificatie tegen een wallet drainer of een nagebouwde inlogpagina?
Tweestapsverificatie helpt niet tegen een wallet drainer, want die vraagt geen wachtwoord: hij vraagt een handtekening voor een transactie, die je zelf afgeeft zodra je je wallet koppelt aan de nagemaakte site. Meer over waar 2FA wel en niet tegen beschermt, lees je in 2FA bij crypto.
Dit artikel legt uit hoe crypto phishing technisch werkt en is geen beleggingsadvies.
Bronnen: TRM Labs, “Understanding Address Poisoning on the TRON Blockchain” (gepubliceerd 22 oktober 2025, geraadpleegd 10-09-2026). Chainalysis, “Understanding Crypto Drainers” (gepubliceerd 16 mei 2024, geraadpleegd 10-09-2026). AFM, “Waarschuwing voor oplichting door misbruik telefoonnummer van de AFM” (gepubliceerd 20 mei 2026, geraadpleegd 10-09-2026). De cijfers over kwaadaardige browserextensies (Firefox en Chrome/Edge, augustus 2026) komen uit onderzoek van het beveiligingsbedrijf Socket, hier overgenomen via secundaire berichtgeving en niet rechtstreeks bij Socket geverifieerd. Dreigingsbeeld en tactieken veranderen; controleer bij twijfel de actuele versie van deze bronnen.
The post Crypto phishing: zo werken nepwallets en nepsites appeared first on Coinliners.nl.