Hacks bij Crypto Bookmakers: Lessen uit de Grootste Beveiligingsincidenten

September 2023. Een van de grootste crypto-gokplatforms ter wereld verliest 41 miljoen dollar aan een hack. De aanvaller drainde de hot wallet in een reeks transacties die in real-time op de blockchain te volgen waren. Spelers keken machteloos toe hoe hun geld verdween – letterlijk, transactie voor transactie, zichtbaar voor iedereen. Het platform overleefde het en compenseerde uiteindelijk de getroffen spelers. Niet elk platform zou die luxe hebben gehad.

De groei van meer dan 102 miljoen actieve blockchain-gamers en de Web3-gaming explosie van 386% in actieve wallets maken crypto-gokplatforms tot steeds aantrekkelijkere doelwitten. Meer gebruikers betekent meer geld op platforms, en meer geld trekt meer aanvallers aan. Dit is geen theoretisch risico – het is de realiteit van een industrie die sneller groeit dan haar beveiliging.

De grootste hacks bij crypto gokplatforms

Ik heb de afgelopen jaren elke grote hack in de crypto-goksector gevolgd, niet uit morbide nieuwsgierigheid maar omdat elk incident lessen bevat die mijn eigen gedrag als wedder hebben veranderd.

De hack van 41 miljoen dollar in 2023 was de meest spraakmakende, maar niet de eerste of de laatste. Het patroon is opvallend consistent: de aanvaller richt zich op de hot wallet – het deel van de fondsen dat online is en direct beschikbaar voor transacties. Platforms die het merendeel van hun fondsen in cold storage bewaren, verliezen alleen het hot wallet-bedrag. Platforms die slordig zijn met hun cold/hot-verdeling, verliezen alles.

Een ander type aanval dat de goksector treft is de smart contract exploit. Platforms die hun spellogica op de blockchain hebben gebouwd via smart contracts, zijn kwetsbaar voor bugs in die code. Een fout in een smart contract is niet te patchen zonder het contract opnieuw te deployen – en de aanvaller hoeft slechts een enkele zwakheid te vinden om het volledige contract leeg te trekken. Het maandelijkse volume van tien miljard dollar aan inzetten bij grote crypto-gokplatforms maakt de buit voor hackers potentieel enorm.

Phishing-aanvallen op medewerkers van gokplatforms zijn de derde categorie. Geen technische exploits, maar social engineering: een medewerker wordt misleid om inloggegevens te delen of een kwaadaardig bestand te openen, en de aanvaller krijgt toegang tot interne systemen. Deze aanvallen zijn minder spectaculair maar even destructief, en ze worden steeds geavanceerder met de inzet van AI-gegenereerde content.

Wat alle incidenten gemeen hebben is de asymmetrie: de aanvaller hoeft slechts een keer succesvol te zijn, terwijl het platform elke dag, elk uur, elke minuut succesvol moet verdedigen. Die asymmetrie is inherent aan cybersecurity, maar in de crypto-goksector is de impact groter omdat transacties onomkeerbaar zijn. Gestolen bitcoin kun je niet terugboeken zoals een creditcardtransactie – het is weg, definitief.

Veelvoorkomende kwetsbaarheden bij crypto platforms

Na het bestuderen van tientallen beveiligingsincidenten in de sector heb ik een duidelijk beeld van waar de zwakste schakels zitten. Het zijn niet altijd de meest voor de hand liggende punten.

Hot wallet management is de primaire kwetsbaarheid. Platforms die een te groot percentage van hun fondsen in hot wallets bewaren – online en direct toegankelijk – vergroten hun risico exponentieel. Best practice is om 90% of meer in cold storage te houden, maar niet elk platform houdt zich hieraan. Sommige platforms publiceren hun cold/hot-ratio, en die transparantie is op zichzelf al een positief signaal.

Gebrekkige code-audits zijn het tweede probleem. Smart contracts en platformcode die niet door onafhankelijke beveiligingsexperts zijn geaudit, bevatten potentieel exploiteerbare kwetsbaarheden. Een audit is geen garantie tegen hacks, maar het vermindert het risico aanzienlijk. Platforms die hun auditresultaten publiceren, verdienen meer vertrouwen dan platforms die dat niet doen.

Menselijke factoren zijn de derde kwetsbaarheid, en wellicht de moeilijkst te elimineren. Een platform kan de beste technische beveiliging ter wereld hebben, maar als een medewerker met admin-rechten zijn wachtwoord hergebruikt op een gehackt forum, is die beveiliging zinloos. Training, strikte toegangscontroles en multi-signature wallets die meerdere goedkeuringen vereisen voor grote transacties zijn essentiële tegenmaatregelen.

Een vierde kwetsbaarheid die steeds relevanter wordt: supply chain attacks. Platforms die externe software-bibliotheken gebruiken – en dat doen ze vrijwel allemaal – zijn kwetsbaar als een van die bibliotheken gecompromitteerd wordt. De aanvaller hoeft het platform zelf niet te hacken, alleen een onderliggend onderdeel. Het is een aanvalsvector die in de bredere tech-industrie al grote schade heeft aangericht en die in de crypto-goksector een kwestie van tijd is.

Wat kun je als speler doen na een hack?

De eerlijke boodschap is: als een platform gehackt wordt en jouw fondsen zijn gestolen, is de kans op volledig herstel klein. Maar er zijn stappen die je kunt nemen om de schade te beperken en je kansen op compensatie te vergroten.

Documenteer onmiddellijk alles. Screenshots van je saldo voor de hack, transactiegeschiedenis, communicatie met het platform. Als het platform een compensatieproces opstart, heb je bewijs nodig van je saldo. De blockchain registreert je transacties, maar je saldo bij de bookmaker – dat intern wordt bijgehouden – is niet altijd op de blockchain terug te vinden.

Controleer of het platform communicatie deelt over het incident. Serieuze platforms publiceren een post-mortem analyse: wat er is gebeurd, hoeveel er is gestolen, en of en hoe spelers gecompenseerd worden. Als het platform volledig stil is na een hack, is dat een zeer slecht teken.

Wijzig onmiddellijk wachtwoorden en tweefactor-authenticatiecodes voor al je accounts – niet alleen bij het gehackte platform, maar overal waar je dezelfde of vergelijkbare inloggegevens gebruikt. Als de aanvallers persoonlijke gegevens hebben buitgemaakt, kunnen ze die gebruiken voor gerichte phishing-aanvallen op andere platforms.

De beste bescherming is preventief: bewaar nooit meer op een platform dan je actief nodig hebt, kies platforms met een bewezen beveiligingstrack record, en spreid je risico over meerdere platforms als je met grotere bedragen werkt. Een diversificatiestrategie die je beschermt tegen het worst-case scenario van een enkel platform dat faalt. Ik hanteer zelf een vuistregel: nooit meer dan 10% van mijn totale crypto-wedbudget op een enkel platform. Het kost meer moeite om meerdere accounts te beheren, maar het beperkt de schade als het ergste gebeurt. Meer praktische beveiligingsmaatregelen vind je in mijn gids over veilig wedden met bitcoin.