Cryptophishing richt zich op 885.000 telefoonnummers

Cybersecuritybedrijf Rapid7 ontdekte de operatie en gaf deze de naam Operation Asterix. Uit het onderzoek blijkt dat de aanvallers zich onder meer voordeden als Ledger, Trezor en Exodus. Hun belangrijkste doel was het bemachtigen van seed phrases en daarmee toegang krijgen tot de crypto van slachtoffers.

Aanvallers controleren wie daadwerkelijk crypto bezit

De criminelen beschikten over verschillende grote bestanden met telefoonnummers. De grootste dataset bevatte 316.002 Duitse mobiele nummers. Daarnaast vonden onderzoekers gegevens uit onder meer Hongkong, Bulgarije, het Verenigd Koninkrijk en de Verenigde Staten.

De verzamelde informatie bevatte ook gegevens die verband hielden met Canadese fintechbedrijven en Ledger-gebruikers.

Het opvallendste onderdeel van de aanval was de manier waarop criminelen de telefoonnummers controleerden. Ze probeerden te bepalen welke nummers daadwerkelijk gekoppeld waren aan accounts bij cryptobeurzen.

Zo identificeerden ze 5.576 telefoonnummers die gekoppeld waren aan Binance-accounts en vervolgens klaarstonden als mogelijke doelwitten. Rapid7 vond daarnaast software waarmee de criminelen telefoonnummers konden controleren op accounts bij Kraken. Ook troffen onderzoekers nep-e-mails aan die Crypto.com imiteerden.

Duitse dataset levert opvallend veel matches op

Binnen de dataset van ruim 316.000 Duitse telefoonnummers vonden de aanvallers 43.066 nummers die gekoppeld konden worden aan gebruikers van cryptobeurzen. Dat komt neer op ongeveer 13,6%.

Dat percentage maakt duidelijk waarom gestolen persoonsgegevens interessant zijn voor cybercriminelen. Een telefoonnummer geeft op zichzelf geen toegang tot een cryptowallet. Het wordt gevaarlijker wanneer criminelen het kunnen combineren met informatie over welke beurs of wallet iemand gebruikt.

Een aanvaller kan daardoor een veel gerichter bericht sturen. Iemand die daadwerkelijk klant is bij een bepaalde cryptodienst zal eerder reageren op een overtuigende waarschuwing over zijn account dan op een willekeurige phishingmail.

Rapid7 vond ook aanwijzingen dat de aanvallers AI-tools gebruikten binnen de operatie. Daarmee konden ze waarschijnlijk grote hoeveelheden gegevens verwerken en hun aanvallen efficiënter uitvoeren.

Nepapps van Ledger, Trezor en Exodus

De criminelen richtten zich niet alleen op beursaccounts. Ze maakten ook valse versies van apps en websites van Ledger, Trezor en Exodus.

Slachtoffers ontvingen bijvoorbeeld een e-mail of telefoontje dat afkomstig leek van een officiële klantenservice. Vervolgens kregen ze het verzoek om naar een website te gaan of een app te gebruiken. Die omgeving zag eruit als die van de echte walletprovider, maar stond onder controle van de aanvallers.

Daar probeerden de criminelen vooral de seed phrase van een slachtoffer te bemachtigen.

Een seed phrase is een reeks van meestal 12 of 24 woorden waarmee iemand een cryptowallet kan herstellen. Deze woorden geven in veel gevallen volledige toegang tot de wallet. Wie de seed phrase bezit, heeft daarom vaak geen wachtwoord of fysiek apparaat meer nodig om de crypto te verplaatsen.

Een betrouwbare walletprovider of klantenservice zal nooit vragen om een volledige seed phrase via e-mail, telefoon of een supportpagina.

Waarom phishing zo effectief blijft

Cryptophishing draait meestal niet om het kraken van een blockchain. Criminelen richten zich juist op de persoon die de crypto beheert.

Ze proberen een slachtoffer bijvoorbeeld een wachtwoord te laten invoeren op een nepwebsite, een schadelijke transactie te laten ondertekenen of een seed phrase te laten delen.

Deze vorm van fraude veroorzaakt nog altijd grote verliezen. Volgens blockchainbeveiligingsbedrijf Hacken waren phishing en andere vormen van social engineering in het eerste kwartaal verantwoordelijk voor ongeveer $306 miljoen van de in totaal $482 miljoen aan verliezen binnen de cryptosector.

In juli verloor een cryptobelegger bijvoorbeeld bijna $1 miljoen nadat hij een kwaadaardige token approval op Ethereum ondertekende. Met zo’n toestemming kan een smart contract bepaalde tokens uit een wallet verplaatsen.

Ook nepsoftware vormt al langer een risico. In november 2023 verscheen een valse versie van Ledger Live in de Microsoft Store. Slachtoffers verloren daarmee gezamenlijk ongeveer $588.000 verdeeld over 38 transacties.

Gelekte persoonsgegevens vergroten het risico

Persoonsgegevens spelen een steeds grotere rol bij gerichte phishingaanvallen.

Trezor meldde eerder in augustus een beveiligingsincident bij verzendpartner ShipMonk waarbij gegevens van ongeveer 14.000 gebruikers betrokken waren.

Een datalek bij een externe dienst betekent niet automatisch dat cryptowallets zijn gehackt. De informatie kan criminelen wel helpen bij een volgende aanval. Wanneer een aanvaller bijvoorbeeld weet dat iemand een specifieke hardwarewallet bezit, kan hij een geloofwaardiger phishingbericht schrijven.

De ontvanger krijgt dan geen algemene waarschuwing over crypto, maar een bericht dat precies aansluit op een product dat hij daadwerkelijk gebruikt.

Ook advertenties worden ingezet voor cryptophishing

E-mail en telefoon zijn niet de enige kanalen die criminelen gebruiken. Ook advertenties in zoekmachines kunnen beleggers naar nagemaakte cryptowebsites sturen.

In mei waarschuwde onchain-onderzoeker b-block voor kwaadaardige Google-advertenties die zich voordeden als advertenties voor decentrale beurs Uniswap. Via deze methode zouden slachtoffers voor meer dan $400.000 zijn bestolen.

Een andere bekende methode is address poisoning. Daarbij maakt een aanvaller een walletadres dat sterk lijkt op een adres waarmee het slachtoffer eerder transacties uitvoerde. Vervolgens probeert de aanvaller dat adres in de transactiegeschiedenis van het slachtoffer te krijgen. Wie later zonder controle een adres kopieert, kan zijn crypto naar de verkeerde wallet sturen.

Een belegger verloor in december 2025 ongeveer $50 miljoen bij zo’n aanval. Binance-medeoprichter Changpeng Zhao pleitte daarna voor betere beveiligingsfuncties in cryptowallets.

Wat betekent dit voor cryptobeleggers?

Operation Asterix laat zien dat een hardwarewallet alleen niet genoeg is om crypto veilig te bewaren. Een apparaat zoals een Ledger of Trezor kan privésleutels beschermen, maar voorkomt niet dat iemand zijn seed phrase zelf invoert op een nagemaakte website.

Controleer daarom altijd zelf waar een bericht vandaan komt. Open een cryptobeurs of walletdienst rechtstreeks via de officiële website of app en niet via een onverwachte link in een e-mail, sms of advertentie.

De belangrijkste regel blijft eenvoudig: deel je seed phrase nooit met iemand en voer deze niet in op een website die daarom vraagt. Wie deze woorden bemachtigt, kan mogelijk volledige controle over de wallet krijgen.

Conclusie

De cryptophishing-campagne rond Operation Asterix toont hoe gericht online fraude inmiddels kan zijn. De aanvallers verzamelden honderdduizenden telefoonnummers, controleerden welke nummers bij cryptobeurzen hoorden en gebruikten vervolgens nagemaakte walletdiensten om slachtoffers te misleiden.

Voor Nederlandse cryptobeleggers is vooral de werkwijze relevant. Een aanval hoeft niet te beginnen met een technisch lek in Bitcoin, Ethereum of een wallet. Persoonsgegevens en een overtuigend bericht kunnen al genoeg zijn. Het zorgvuldig controleren van websites, transacties en verzoeken om herstelgegevens blijft daarom een belangrijk onderdeel van veilig cryptobeheer.

Veelgestelde vragen over cryptophishing

Wat is cryptophishing?

Cryptophishing is fraude waarbij criminelen zich voordoen als een betrouwbare cryptobeurs, walletprovider of andere cryptodienst. Ze proberen slachtoffers gevoelige informatie te laten delen of een schadelijke transactie te laten uitvoeren.

Wat moet ik doen als iemand om mijn seed phrase vraagt?

Deel je seed phrase nooit. Een betrouwbare cryptobeurs, walletprovider of klantenservice heeft deze woorden niet nodig. Krijg je toch zo’n verzoek, sluit de website of het gesprek en controleer de situatie rechtstreeks via de officiële dienst.

Beschermt een hardwarewallet tegen phishing?

Een hardwarewallet biedt extra bescherming voor privésleutels, maar kan phishing niet volledig voorkomen. Als je zelf je seed phrase deelt of een schadelijke transactie goedkeurt, kan een aanvaller alsnog toegang krijgen tot je crypto.