Institutionele beleggers stellen strengere eisen aan blockchainbeveiliging

Een audit van smart contracts is voor institutionele beleggers niet langer genoeg om een blockchainproject als veilig te bestempelen. Professionele investeerders kijken steeds vaker naar de dagelijkse beveiliging van een project. Juist daar blijken de grootste risico’s te zitten.

Dat blijkt uit het Security & Compliance Report van beveiligingsbedrijf Hacken over het tweede kwartaal van 2026. Investeerders letten niet langer alleen op de code van een project, maar ook op zaken als toegangsbeheer, beveiligingsprocedures en de manier waarop een organisatie reageert op cyberaanvallen.

Grootste risico zit niet in de smart contracts

Voor het onderzoek analyseerde Hacken 1.427 blockchainprojecten met een marktkapitalisatie van minimaal 1 miljoen dollar. Daaruit blijkt dat slechts negen procent gebruikmaakt van continue beveiligingsmonitoring door een onafhankelijke partij. Slechts vier procent combineert dat met een beveiligingsaudit én een actief bug bounty-programma, waarbij ethische hackers worden beloond voor het melden van kwetsbaarheden.

In het tweede kwartaal werd voor ongeveer 764 miljoen dollar buitgemaakt bij beveiligingsincidenten. Opvallend genoeg kwam 88,3 procent van die schade niet door fouten in smart contracts. De meeste aanvallen ontstonden doordat toegangssleutels werden gestolen of doordat aanvallers misbruik maakten van de achterliggende infrastructuur.

Volgens Hacken laat dat zien dat een positief auditrapport geen garantie is voor een veilig blockchainproject.

Projecten die hun dagelijkse beveiliging niet goed kunnen aantonen, lopen daardoor het risico institutionele investeerders af te schrikken. Dat kan leiden tot minder investeringen, hogere verzekeringspremies en meer moeite om samen te werken met professionele partijen.

Federico Bagiotti, Head of Risk Management bij Abraxas Capital en mede-auteur van het rapport, zegt dat onvoldoende beveiliging regelmatig de belangrijkste reden is om een investering af te wijzen, ook als een project op andere vlakken aantrekkelijk oogt.

Ook Rajeev Bamra, Head of Digital Economy Strategy bij Moody’s Ratings, ziet die ontwikkeling. Volgens hem is operationele weerbaarheid inmiddels een van de belangrijkste onderdelen geworden bij de beoordeling van beveiliging en risicobeheer.

Investeerders kijken verder dan een audit

Waar een audit van smart contracts vroeger vaak voldoende was, kijken institutionele beleggers tegenwoordig naar veel meer. Ze willen bijvoorbeeld weten wie transacties kan goedkeuren, hoe afhankelijk een project is van externe partijen, hoe snel beveiligingsincidenten worden opgelost en welke maatregelen zijn genomen om misbruik van toegang te voorkomen.

Abraxas Capital controleert daarnaast of projecten gebruikmaken van tijdsloten voor belangrijke wijzigingen, whitelists voor opnameadressen, goedkeuring door meerdere partijen en of kritieke processen afhankelijk zijn van één enkele sleutel of validator.

Ook Europese regels leggen de lat hoger

Niet alleen beleggers stellen strengere eisen. Ook toezichthouders leggen steeds meer nadruk op operationele beveiliging. Volgens Jody Mettler, Chief Operating Officer van BitGo, stellen institutionele klanten steeds vaker vragen over toegangsbeheer, incidentrespons en de continuïteit van bewaardiensten. Die ontwikkeling hangt mede samen met de Europese Digital Operational Resilience Act (DORA), die strengere eisen stelt aan de digitale weerbaarheid van financiële instellingen.

Een opvallende conclusie uit het rapport is dat veertien blockchainprojecten die in het tweede kwartaal slachtoffer werden van een aanval, eerder al een beveiligingsaudit hadden doorstaan. De aanvallen vonden dus niet plaats via de smart contracts zelf, maar via apparaten van ondertekenaars, bridge validators, backendsystemen, beheerderssleutels en verouderde contracten die nog altijd actief waren.

Voor het onderzoek keek Hacken uitsluitend naar activa die zijn genoteerd op de vijftig grootste gecentraliseerde handelsplatformen volgens de CoinGecko Trust Score. Wrapped assets, stablecoins en getokeniseerde reële activa werden buiten beschouwing gelaten. De onderzoekers merken daarbij op dat alleen openbaar beschikbare beveiligingsmaatregelen zijn meegenomen. Interne of private beveiligingsafspraken zijn daardoor mogelijk niet in de analyse verwerkt.