Trust Wallet is tijdens Kerstmis getroffen door een hack waarbij circa $7 miljoen aan digitale valuta is weggesluisd. Het treft gebruikers van de populaire zelfbewaar‑wallet wereldwijd, ook in Europa. De aanval vond plaats rond 25 december en is nog in onderzoek. De oorzaak is nog niet publiek gemaakt; de prioriteit ligt bij schadebeperking en gebruikerswaarschuwingen.
Aanval treft mobiele wallet
Trust Wallet is een veelgebruikte app voor het bewaren en verzenden van crypto zoals Bitcoin (BTC), Ethereum (ETH) en tokens uit DeFi. In tegenstelling tot beurzen beheren gebruikers zelf hun sleutels en dus hun coins. Dat geeft meer controle, maar ook volledige verantwoordelijkheid bij incidenten. De hack onderstreept dat mobiele en browser‑wallets doelwit blijven van gerichte aanvallen.
Rond Kerstmis zagen getroffen gebruikers ongeautoriseerde transacties. Dit soort wegsifflingen gebeurt vaak in minuten, via meerdere adressen. Het team van Trust Wallet bevestigde een beveiligingsincident en waarschuwde voor verdere risico’s. Details over het precieze aanvalspad ontbreken nog.
Omdat Trust Wallet geen centrale kas beheert, worden verliezen direct zichtbaar op de keten van blokken. Aanvallers verdelen buit vaak over meerdere netwerken en adressen. Dat maakt terughalen lastig zonder snelle bevriezing door protocollen of beurzen. Snelle melding vergroot wel de kans op het blokkeren van doorstroom naar exchanges.
Schade geraamd op $7 miljoen
De eerste raming van de schade komt uit op ongeveer $7 miljoen. Omgerekend is dat circa €6,4 miljoen bij een koers van $1 = €0,91 op 26 december 2026. Het gaat om diverse tokens, wat het traceren van stromen bemoeilijkt. Het totaal kan nog wijzigen naarmate meer getroffen wallets in beeld komen.
Bij dit soort incidenten verspreiden aanvallers de buit direct over meerdere adressen. Soms wordt ook mixers‑software ingezet om herkomst te verhullen. Beurzen kunnen verdachte stortingen markeren en tijdelijk bevriezen. Dat vraagt wel tijdige en volledige lijsten met adressen die bij de aanval horen.
Voor individuele gebruikers is de schade vaak definitief als een transactie is bevestigd. Blokketens zijn ontworpen als onomkeerbaar kasboek. Alleen bij fouten van een dienst of fraude met identificeerbare tegenpartijen is herstel soms mogelijk. Dit onderstreept het belang van preventie en snelle detectie.
Oorzaak nog onduidelijk
Het onderzoek naar de oorzaak loopt nog. Mogelijke routes bij wallet‑aanvallen zijn onder meer misbruik van een software‑kwetsbaarheid, een gecompromitteerde updateketen of gerichte phishing. Zonder bevestigd technisch rapport blijft het gissen. Daarom waarschuwen beveiligers om alleen verifieerbare informatie van het wallet‑team te volgen.
Phishing is vaak de grootste boosdoener: nepwebsites en valse app‑updates vragen om geheime woorden of goedkeuringen. Ook malafide browser‑extensies kunnen transacties onderschrijven zonder dat het duidelijk is. Bij mobiele apps vormt sideloading buiten de officiële appstores extra risico. Elk van deze routes kan leiden tot volledige controle over fondsen.
Een transparant post‑mortem is belangrijk om vergelijkbare apps te beveiligen. Openbare indicatoren, zoals verdachte adressen en softwareversies, helpen de sector om snel te reageren. Tot die tijd is het advies: minimaliseer blootstelling en check elke stap dubbel. Dat geldt voor alle zelfbewaar‑wallets, niet alleen Trust Wallet.
Noodmaatregelen en advies
Het team raadt getroffen en mogelijk kwetsbare gebruikers aan om direct actie te ondernemen. Werk de app bij via de officiële Apple App Store of Google Play. Verwijder ongebruikte dApp‑verbindingen en intrek token‑toestemmingen waar mogelijk. Deel nooit geheime woorden of sleutels, ook niet met “supportmedewerkers”.
Wie tekenen van misbruik ziet, moet een nieuw wallet‑adres aanmaken en fondsen verplaatsen. Gebruik daarbij een nieuw gemaakte herstelzin en test eerst met een klein bedrag. Meld verdachte transacties en adressen bij het team en, indien relevant, bij beurzen waar mogelijk naartoe is gestuurd. Dat vergroot de kans op blokkade van verdere doorstroom.
Blijf alert op look‑alike accounts en domeinen. Aanvallers misbruiken vaak de verwarring rond incidenten om extra slachtoffers te maken. Vertrouw alleen op berichten via de officiële kanalen van de aanbieder. Controleer handvatten zoals PGP‑sleutels en domeincertificaten waar beschikbaar.
Een seed phrase is een reeks van 12 of 24 woorden die de sleutel vormt tot uw wallet. Wie deze woorden heeft, bezit uw fondsen.
Gevolgen voor Nederlandse gebruikers
Voor gebruikers in Nederland en de EU geldt: zelfbewaar‑wallets vallen buiten de bescherming van het depositogarantiestelsel. MiCA‑regels richten zich vooral op aanbieders zoals beurzen en uitgevers van stablecoins, niet op uw eigen telefoon. Verlies door diefstal in een eigen wallet is daarmee in principe voor eigen rekening. Alleen verzekeringen of coulance kunnen soms uitkomst bieden.
Nederlandse exchanges zoals Bitvavo, Coinbase en Kraken zijn niet direct geraakt door deze hack. Toch kunnen zij betrokken raken bij blokkades als gestolen tokens daar belanden. Zij volgen meldingen van verdachte adressen vaak op met verscherpte controles. Dat kan ook gevolgen hebben voor doorlooptijden van stortingen en opnames.
Let in appstores op nep‑apps die meeliften op het nieuws. Controleer uitgever, recensies en aantal downloads. Gebruik bij voorkeur de link vanuit de officiële website van de wallet‑maker. Vermijd sideloaden en gebruik geen “gecrackte” versies.
Dit kunt u nu doen
Ook als u niet getroffen bent, is het verstandig uw basisbeveiliging op te frissen. Kleine stappen verkleinen de kans op verlies bij een volgende aanval. Denk aan apparaat‑beveiliging, netwerkhygiëne en het scheiden van risico’s. Zo bouwt u een extra buffer in tegen fouten en misbruik.
- Update de Trust Wallet‑app via de officiële store en herstart uw toestel.
- Maak een nieuw wallet‑adres aan en verhuis tegoeden indien u twijfelt.
- Trek dApp‑toestemmingen in via vertrouwde “revoke”‑tools van de keten.
- Bewaar uw herstelzin offline; deel deze nooit en maak geen foto’s.
- Controleer afzenders; ga niet in op DMs of e‑mails die om sleutels vragen.
De komende dagen volgen vermoedelijk meer details over het aanvalspad en de exacte omvang. Tot die tijd blijft voorzichtigheid geboden bij het gebruik van mobiele en browser‑wallets. Snelle updates en duidelijke indicatoren van compromis zijn cruciaal voor opsporing en herstel. Het incident laat zien hoe groot de risico’s zijn bij zelfbeheer van digitale assets.
