Een cryptohack van 1,5 miljard dollar is uitgegroeid tot een bepalende casestudy over waarom gestolen digitale activa zo moeilijk terug te halen zijn, zelfs wanneer elke transactie zichtbaar is op een openbare blockchain. De diefstal — een van de grootste ooit geregistreerd — bracht het hardnekkige verschil aan het licht tussen het traceren van fondsen en het daadwerkelijk terugkrijgen ervan zodra ze een wallet verlaten.

Het incident werd bekendgemaakt door exchange Bybit, die een lopend verslag van de inbraak publiceerde op zijn beveiligingstijdlijn voor incidenten. Bybit-CEO Ben Zhou reageerde ook direct op de situatie via zijn account op X, waar hij de reactie van de exchange beschreef terwijl de gebeurtenissen zich ontvouwden. De inbraak was gericht op de Ethereum-cold wallet van Bybit en werd vervolgens door blockchain-analysebedrijven waaronder Chainalysis en TRM Labs toegeschreven aan de Noord-Koreaanse Lazarus-groep, waarna de FBI later een eigen bevestiging uitbracht — wat onderstreept hoe door staten gesteunde actoren een dominante kracht zijn geworden achter grote cryptodiefstallen.

Waarom het terughalen van gestolen crypto zo moeilijk is

Het kernprobleem is dat blockchaintransacties over het algemeen onomkeerbaar zijn zodra ze worden bevestigd. Er is geen centrale operator die een overdracht ongedaan kan maken, zodat een gevalideerde on-chain transactie geldt, ongeacht hoe de fondsen zijn verkregen.

Transparantie lost dit niet op. Analisten kunnen gestolen activa in realtime over wallets en netwerken zien bewegen, maar zichtbaarheid is niet hetzelfde als controle. Traceerbaarheid vertelt onderzoekers waar het geld naartoe ging; terughalen vereist iemand met de bevoegdheid om het te bevriezen of terug te geven.

Dit onderscheid is waarom snelheid in de eerste minuten na een inbraak enorm belangrijk is. Fondsen kunnen vrijwel onmiddellijk worden gesplitst en verplaatst, en hoe langer ze in beweging blijven, hoe kleiner de kans op volledig herstel wordt. De omvang van de verliezen in deze zaak weerspiegelt een bredere trend: hacks kostten in 2024 ongeveer 1,5 miljard dollar voordat de verliezen in 2025 verder opliepen. Aan Noord-Korea gelieerde groeperingen alleen al zijn in de afgelopen jaren in verband gebracht met miljarden aan gestolen crypto bij meerdere incidenten, waarbij het terughaalpercentage laag blijft, zelfs wanneer de dader bekend is.

Hoe aanvallers gestolen fondsen verbergen

Zodra activa zijn gestolen, proberen aanvallers doorgaans het spoor uit te wissen. Methoden omvatten het wisselen van tokens, het springen tussen wallets en het routeren van waarde via bridges en diensten om het pad op te breken in veel kleinere stappen. In dit geval observeerden onderzoekers dat de aanvallers de fondsen snel verspreidden over meerdere blockchains en gedecentraliseerde diensten — een modus operandi die consistent is met eerdere operaties van de Lazarus-groep.

Cross-chain bewegingen veroorzaken wrijving voor iedereen die probeert te reageren. Elke swap of bridge kan vertragingen veroorzaken voor onderzoekers en voor platforms die proberen activa te markeren of te bevriezen voordat ze verspreid raken.

Exchanges en dienstverleners kunnen soms fondsen bevriezen, maar alleen wanneer de activa op tijd worden geïdentificeerd en gemeld. Omdat dit tijdvenster smal is en de routering opzettelijk ingewikkeld is, is gedeeltelijk herstel veel gebruikelijker dan volledige teruggave. Vergelijkbare traceringsuitdagingen doken op na de hack van 285 miljoen dollar bij Drift op Solana.

Implicaties voor exchanges, gebruikers en toezichthouders

Diefstallen van deze omvang versterken de druk op exchanges, bewaarders en protocollen om monitoring en incidentrespons aan te scherpen. Wanneer een enkele inbraak in enkele minuten een bedrag van negen cijfers kan verplaatsen, zijn de kosten van trage detectie enorm. Het Bybit-incident — waarbij aanvallers zogenaamd de ondertekeningsinterface zouden hebben gemanipuleerd om een kwaadaardige transactie te verbergen — heeft ook de multisig-walletworkflows en de veronderstellingen omtrent vertrouwen die in hardware-goedkeuringsprocessen zijn ingebouwd, onder de loep genomen.

Voor gebruikers onderstreept deze gebeurtenis dat hersteltijdlijnen lang kunnen duren, zelfs wanneer fondsen traceerbaar blijven. De eigen juridische actie van Bybit in verband met de inbraak laat zien hoe ver een gerichte exchange kan gaan om gestolen activa achteraf na te jagen.

Terughaalinspanningen berusten zelden bij één partij. Ze omvatten doorgaans exchanges, on-chain analysebedrijven en wetshandhaving die parallel werken — vaak over rechtsgebieden met ongelijke handhaving. Deze complexiteit is deels waarom mega-hacks een systemisch probleem voor de sector blijven. Dat risico drijft ook de interesse in preventieve hulpmiddelen zoals beveiligingssoftware op wallet-niveau nu de verliezen door oplichting en diefstal blijven oplopen. Bij elke opeenvolgende mega-diefstal blijven het vermogen — of het onvermogen — van de sector om te bevriezen, terug te halen en af te schrikken een open vraag die zowel regulerende actie als het vertrouwen van gebruikers in de toekomst zal vormgeven.