De Web3-sector heeft in het eerste kwartaal van 2026 in totaal 464,5 miljoen dollar verloren door hacks en oplichting. Dat blijkt uit een rapport van blockchainbeveiligingsbedrijf Hacken. De extreem grote hacks van miljarden dollars bleven uit, maar het aantal middelgrote incidenten nam juist toe. Opvallend: niet technologie maar mensen waren de zwakste schakel.
Phishing en social engineering waren verantwoordelijk voor 306 miljoen dollar aan verliezen, ruim twee derde van het totaal. Bij deze aanvallen worden gebruikers misleid via nepberichten, valse investeringsgesprekken of nagemaakte websites.
Eén incident in januari sprong eruit. Een aanval gericht op gebruikers van hardware wallets, apparaten die juist bedoeld zijn om crypto extra veilig te bewaren, was goed voor 282 miljoen dollar. Dat ene incident vormde daarmee meer dan de helft van alle schade in het hele kwartaal.
Naast oplichting speelden ook technische fouten een rol. Kwetsbaarheden in smart contracts veroorzaakten 86,2 miljoen dollar aan schade. Problemen met toegangsbeheer, zoals gestolen sleutels of gehackte cloudsystemen, leidden tot nog eens 71,9 miljoen dollar aan verliezen.
Opvallend is dat ook projecten die meerdere beveiligingsaudits hadden doorlopen kwetsbaar bleken. Zes gecontroleerde projecten waren samen goed voor 37,7 miljoen dollar aan verliezen. Truebit verloor 26,4 miljoen door een verouderde softwarefout. Venus Protocol werd getroffen door een al langer bekende kwetsbaarheid. Resolv Labs raakte 25 miljoen kwijt via een lek in een cloudbeheersysteem.
Een audit is dus geen garantie. Grotere projecten met veel kapitaal trekken volgens Hacken juist geavanceerdere aanvallen aan.
Noord-Koreaanse hackersgroepen vormen nog altijd een van de grootste bedreigingen voor de sector. Zij gebruiken steeds geavanceerdere methodes, waaronder nep-investeringsdeals en gemanipuleerde videogesprekken. Een aanval op Step Finance leidde tot een verlies van 40 miljoen dollar.
In 2025 zouden Noord-Koreaanse groepen al meer dan 2 miljard dollar hebben buitgemaakt. De recente hack bij DeFi-platform Drift, waarbij bijna 300 miljoen dollar werd gestolen via maandenlange sociale infiltratie op conferenties, past in datzelfde patroon.
Ondanks het hoge totaalbedrag behoort dit kwartaal tot de minst schadelijke eerste kwartalen sinds 2023. Dat komt vooral doordat een megahack zoals bij Bybit in 2025, waarbij 1,46 miljard dollar verdween, uitbleef.
Maar de trend is duidelijk. Aanvallers richten zich steeds minder op de blockchain zelf en steeds meer op mensen en ondersteunende systemen. De duurste incidenten vinden plaats buiten de codelaag: in IT-infrastructuur, operationele processen en bij medewerkers die worden misleid.
Volgens Hacken moeten bedrijven incidenten binnen 24 uur herkennen, binnen 4 uur analyseren en binnen 30 seconden blokkeren. De sector wordt professioneler, maar de aanvallers ook.
De reeks aanvallen volgt op de grote hack van het Drift Protocol op 1 april. Bij dat incident werd circa 280 miljoen dollar buitgemaakt.
Hackers met vermoedelijke Noord-Koreaanse banden gebruikten AI om medewerkers van cryptowallet Zerion te misleiden. Er werd 100.000 dollar buitgemaakt.
Cryptogebruikers zijn het doelwit van een nieuwe cyberaanval waarbij criminelen misbruik maken van de populaire notitie-app Obsidian.
De mislukte vredesgesprekken met Iran drukken maandag op aandelen. Analisten verwachten een stijgende dollar en olieprijs. De schade kan meevallen als markten het als uitstel zien.
Frankrijk haalt goud terug uit de Verenigde Staten, boekt miljardenwinst en kiest voor opslag in eigen land. Wat betekent dat nu?
Irak vraagt oliekopers om ladingen op te halen nu Iran de doorvaart door Hormuz heeft vrijgegeven. De eerste tanker is al door de zeestraat.
