Crypto heeft een hackprobleem. En dat probleem wijst in toenemende mate terug naar Pyongyang.

Vermoedelijke hacks met een link naar Noord-Korea waren tot nu toe in 2026 goed voor bijna 89% van de gemelde cryptohackverliezen, volgens gegevens die het blockchainanalysebedrijf Chainalysis op 30 oktober 2026 publiceerde. In 2021 lag dat aandeel nog op slechts 15%. Ook zijn de gemiddelde verliezen per aanval sinds 2021 meer dan verdrievoudigd, wat onderstreept dat vermoedelijke DPRK-operaties nu de overgrote meerderheid van de gestolen crypto voor hun rekening nemen.

Juist die concentratie maakt 2026 bijzonder voor de sector: wanneer één aan een staat gelinkte actor verantwoordelijk is voor het merendeel van de gemelde verliezen, draaien beveiligingsplanning en incidentregistratie van beurzen steeds meer rond één goed gedocumenteerd dreigingsprofiel in plaats van een versnipperd veld aan aanvallers.

De cijfers achter de toename

Chainalysis volgde de gemelde cryptohackverliezen van 2021 tot en met 29 oktober 2026. In die periode bedroegen de totale gemelde verliezen naar schatting $22,34 miljard. Vermoedelijke aan de DPRK gelinkte hacks maakten naar schatting $13,24 miljard daarvan uit, wat neerkomt op ongeveer 59% van alle gemelde verliezen in die periode.

Wellicht veelzeggender is de omvang van elke aanval. Het gemiddelde verlies per vermoedelijk aan de DPRK gelinkt incident was in 2021 $50,65 miljoen, volgens Chainalysis. In 2026 is dat gemiddelde tot nu toe gestegen naar $185,65 miljoen — waarmee elke aanval meer dan drie keer zo kostbaar is als vijf jaar geleden.

Samengevat wijzen de gegevens op minder, maar grotere aanslagen in plaats van een vloedgolf aan kleine incidenten. De concentratie van verliezen in een handvol grote gebeurtenissen, in plaats van een brede toename van hackvolume, duidt op een bewuste focus op hoogwaardige doelen. Het betekent ook dat afzonderlijke incidenten de jaartotalen op eigen kracht kunnen doen omslaan — een dynamiek die zichtbaar is in de twee aanvallen van 2026 hieronder.

De grote klappen van 2026

Twee incidenten domineren de jaartotalen. De grootste is een hack bij Binance op 29 oktober 2026, met verliezen geschat op ruwweg $6,3 miljard tot $6,4 miljard. Eerder, in september 2026, resulteerde een exploit bij Bitget in een verlies van $387 miljoen.

Beide incidenten zijn in verband gebracht met TraderTraitor, een Noord-Koreaanse cyber groep die aan een reeks hoogwaardige aanvallen is gekoppeld.

De gebruikte technieken zijn geen brute-force codebreking. De aanvallen maakten gebruik van geavanceerde methoden zoals social engineering, die zich op mensen richt in plaats van op software, en multi-chain witwassen, waarbij gestolen fondsen over meerdere blockchains worden verplaatst om het spoor te vertroebelen. Die toegangspunten liggen in operations en personeel, niet alleen in code — een terugkerend kenmerk van de incidenten die tot nu toe aan de groep worden toegeschreven.

Een tweede mening van TRM Labs

Chainalysis is niet het enige bedrijf dat deze trend volgt. Concurrent TRM Labs schat het aandeel van Noord-Korea in de totale hackwaarde in 2026 op circa 85%.

TRM Labs stelt de cumulatieve cryptodiefstal van het regime sinds 2017 op ongeveer $12,8 miljard tot $13,5 miljard. Het bedrijf schat dat daarvan $7,4 miljard alleen al in 2026 tot nu toe is gestolen.

De twee bedrijven hanteren verschillende methoden en tijdsvensters, waardoor de cijfers niet exact overeenkomen. De richting is echter hetzelfde: beide laten zien dat activiteit met een link naar Noord-Korea dit jaar de cryptodiefstal domineert. Voor lezers die de cijfers afwegen, is die onafhankelijke convergentie de belangrijkste context — de totalen verschillen per methodologie, maar de kernbevinding wordt door twee afzonderlijke datasets bevestigd.

Hoe het zover kwam

In 2021 waren hacks met een link naar Noord-Korea nog één bedreiging van velen. Chainalysis-gegevens zetten hun aandeel in de verliezen van dat jaar op 15%, wat betekent dat het merendeel van de gestolen crypto naar andere aanvallers ging.

Groepen als TraderTraitor zijn sindsdien terugkerende namen in rapporten over datalekken. Het patroon is consistent: grote platforms als doel nemen, menselijke toegangspunten uitbuiten en de opbrengsten vervolgens over meerdere netwerken witwassen.

Met de jaartotalen die nog moeten volgen, zijn de cijfers om in de gaten te houden de volgende updates van Chainalysis en TRM Labs — zowel om te zien of de concentratie van 2026 standhoudt tot in december, als om te zien hoe de methodologie van elk bedrijf rekening houdt met de incidenten bij Binance en Bitget in de definitieve totalen.