Als de diefstal van deze maand van meer dan 153 miljoen Amerikaanse en Canadese rijbewijzen iets bewijst, dan is het wel dat de veiligste plek om een kopie van je rijbewijs te bewaren nergens is.

De gelekte identiteitsdocumenten, die afkomstig lijken te zijn van een identiteitsverificatiedienst, dook op op Nexus, een identiteitsdienst op het dark web, samen met miljoenen andere gestolen identiteits- en reisdocumenten. De FBI heeft gezegd het lek te onderzoeken, volgens een bericht van Reuters.

Het gevaar werd deze week extra duidelijk toen fintech Revolut bekendmaakte dat een hacker het bedrijf had misleid om grote hoeveelheden gevoelige klantgegevens af te geven, waaronder kopieën van paspoorten en verificatieselfies. De aanvaller lekt nu geleidelijk de identiteitsdocumenten van 680 klanten op het web, in een poging een losgeld van 3 miljoen dollar in Monero af te dwingen, zoals Cointelegraph meldde.

De ironie is moeilijk te missen. Know Your Customer-processen (KYC) bestaan om financiële systemen veiliger te maken door vast te stellen wie de klanten zijn en te control dat zij zich niet aan misdragingen schuldig maken. Toch vereist de manier waarop KYC doorgaans wordt ingevuld dat bedrijven enorme hoeveelheden gevoelige informatie opslaan, wat waardevolle honingpotten voor criminelen creëert.

Het probleem wordt steeds moeilijker te negeren. Alleen al in de eerste helft van 2026 troffen datalekken in de Verenigde Staten ten minste 343 miljoen mensen, volgens de Privacy Rights Clearinghouse. Nog frustrerender is dat het al mogelijk is om iemands identiteit te verifiëren zonder zijn of haar documenten op te slaan, met behulp van zero-knowledge proofs.

Efrat Fenigson, presentator van de podcast You're The Voice, die uitgebreid schrijft en spreekt over privacy en KYC, vertelde Cointelegraph Magazine:

"Wanneer toezichthouders een model blijven voorschrijven dat deze uitkomst garandeert — terwijl de technologie om te verifiëren zonder op te slaan al bestaat — is dat een waarschuwingsteken. Het wijst op een gebrek aan rationeel denken en aan echte wil om problemen op te lossen."

De vraag is hoeveel lekken er nog nodig zijn voordat die wil begint te kantelen.

KYC is gebouwd om identiteit te verzamelen, niet alleen te verifiëren

De KYC-systemen van tegenwoordig zijn grotendeels gebaseerd op de aanname dat instellingen het paspoort of rijbewijs van een klant moeten zien, de relevante gegevens moeten vastleggen en vervolgens bewijs van de controle moeten opslaan.

Die aanpak heeft een duidelijke zwakte: het heeft een uitgestrekt ecosysteem voortgebracht van identiteitsaanbieders, databases, leveranciers en compliancesystemen, die elk een aparte schatkamer van individuele KYC-gegevens herbergen. Elke extra kopie van iemands gegevens is een nieuw potentieel faalpunt — en hackers worden steeds creatiever in het vinden van manieren om erbij te komen.

Het datalek bij Revolut illustreert dat. De hacker stuurde e-mails met het verzoek om de KYC-gegevens vanaf een legitiem Italiaans handhavingsadres. Lyudmyla Klovska, president van Open Dialogue, zei op X dat EU-wetgeving Revolut geen andere keus liet dan meewerken:

"De EU-Anti-Witwaswet legt de bank geen verificatieplicht op en biedt geen betekenisvol mechanisme om te controleren wie er werkelijk achter een geauthenticeerd overheidsverzoek zit. Weigeren om te antwoorden levert boetes in de miljoenen op. In de praktijk is verificatie onmogelijk."

Susie Violet Ward, directeur en medeoprichter van Bitcoin Policy UK, waarschuwt dat de werkelijke kwestie de onnodige opslag van identiteitsgegevens is: "We moeten stoppen met het behandelen van identiteitsverificatie en het afstaan van je identiteit alsof het hetzelfde zijn."

Als een bedrijf alleen hoeft te weten dat iemand ouder is dan 18, zo stelt ze, zou het niet automatisch aanvullende gegevens moeten eisen zoals een volledige naam, adres, exacte geboortedatum en een permanente kopie van het betreffende document. "De ironie is dat KYC is ontworpen om systemen veiliger te maken, maar de manier waarop we het nu uitvoeren kan een geheel ander beveiligingsprobleem creëren. Na een inbreuk kun je een wachtwoord resetten, maar je identiteit niet op dezelfde manier," aldus Ward.

De technologie om te stoppen met hamsteren van identiteitsdocumenten bestaat al

Voor crypto-aanhangers ligt de voor de hand liggende oplossing in zero-knowledge proofs — wiskundige bewijzen dat iets waar is zonder de onderliggende details prijs te geven. Een telefoonapp zou bijvoorbeeld een bewijs kunnen genereren dat bevestigt dat een rijbewijs aangeeft dat de houder ouder is dan 18, zonder de geboortedatum of een afbeelding van het rijbewijs zelf te versturen.

Zcash-oprichter Zooko Wilcox legt de technologie helder uit in een video-interview met Crypto Fireside.

Evin McMullen, ceo en medeoprichter van Billions Network, dat privacybeschermende digitale identiteits- en zero-knowledge-oplossingen ontwikkelt, vertelde Cointelegraph Magazine: "De technologie werkt en wordt vandaag in productie gebruikt, bij duizenden toepassingen en gereguleerde instellingen. Wat het tegenhoudt, is dat de hele compliance-infrastructuur is gebouwd rond het verzamelen en opslaan van kopieën van documenten."

De belemmering was volgens McMullen "nooit de technologie", maar de regels, prikkels en infrastructuur die eromheen zijn gebouwd: "Dit is een bestuurs- en standaardiseringsprobleem in een technologisch kostuum."

Als de technologie werkt, wat houdt het dan tegen?

De Europese Unie neemt-knowledge-technologie al op in het ontwerp van haar digitale identiteits- en leeftijdsverificatiesystemen en ontwikkelt privacybeschermende leeftijdsverificatie waarmee gebruikers hun leeftijd kunnen bewijzen zonder hun volledige identiteit of exacte geboortedatum prijs te geven. De Digital Identity Wallet ondersteunt ook "selectieve openbaarmaking", waardoor gebruikers alleen de informatie onthullen die nodig is voor een specifieke transactie.

Waarom wordt dit dan niet breder ingezet voor financiële KYC? McMullen noemt "regelgeving en begrip" de grootste belemmeringen voor invoering: "De meest voorkomende blokkade is dat complianeteams 'we hebben de ID gezien' gelijkstellen aan 'we moeten de ID bewaren', dus ze verzamelen te veel uit voorzorg."

Interoperabiliteit is een andere struikelblok. Cryptografische bewijzen zijn alleen nuttig, aldus McMullen, "als de partij die erop vertrouwt het kan controleren zonder terug te bellen naar wie het heeft uitgegeven." Dat vereist gedeelde standaarden — makkelijker gezegd dan gedaan.

ZK lost KYC niet magisch op

Er is één belangrijke kanttekening: het vervangen van een identiteitsdocument door een zero-knowledge proof schakelt niet automatisch elk privacy- of beveiligingsprobleem uit.

Fenigson wijst erop dat het net zo belangrijk is waaraan een ZK-credential gekoppeld is: "De prikkels wijzen richting controle, niet privacy. Zero-knowledge proofs laten iemand een feit bewijzen, zoals ouder zijn dan 18 of niet op een sanctielijst staan [...] Wat ontbreekt is waaraan dat bewijs gekoppeld wordt. Op dit moment is dat meestal een account in iemand anders' database."

Het komt neer op wie uiteindelijk de credential beheert. Als een persoon een privacybeschermend bewijs genereert, maar dat bewijs gekoppeld is aan een account in de database van iemand anders, blijft die persoon afhankelijk van een gecentraliseerde tussenpersoon.

De regels zijn niet zo duidelijk als je denkt

In veel gevallen vereisen de regels de opslag van identiteitsgegevens niet echt — het is eerder een conventie, omdat het altijd zo gedaan is.

De richtlijnen van de Financial Action Task Force behandelen expliciet hoe digitale identiteitssystemen kunnen worden gebruikt voor klantonderzoek, in plaats van dat instellingen op fysieke identiteitsdocumenten moeten vertrouwen. De aanbevelingen van de FATF werken bovendien als een risicogebaseerd kader, waarbij individuele landen de standaarden invullen via hun juridische en regelgevende systemen.

"In veel rechtsgebieden is de regel dat je identiteit moet verifiëren en aantekeningen van die verificatie moet bewaren, niet dat je het ruwe documentbeeld voor altijd moet bewaren," aldus McMullen. Dat betekent dat een cryptografisch verifieerbare verklaring, samen met een registratie waaruit blijkt dat de betreffende controle is uitgevoerd, voldoende kan zijn om te voldoen — zonder nog een permanente kopie van een identiteitsdocument te creëren.

Maar omdat de richtlijnen "ambigu" zijn, kiezen instellingen standaard voor het bewaren van alles, omdat hun complianeteams weten dat auditors en toezichthouders dat accepteren. Zelfs waar de regels technisch gezien een andere aanpak toestaan, wil niemand de eerste zijn die het risico neemt. Zoals Ward uitlegde: "Er heerst in regelgeving een instinct dat meer informatie meer controle betekent en dus meer veiligheid."

Voor instellingen die een andere aanpak overwegen, zijn de praktische vragen daarom of een bewijs onder de toepasselijke regels kan worden geaccepteerd, of het onafhankelijk tussen systemen kan worden gecontroleerd en of de credential onder de controle van de gebruiker blijft in plaats van gekoppeld te zijn aan een andere gecentraliseerde database. Dat zijn bestuurs- en implementatievragen, niet simpelweg vragen over of de onderliggende cryptografie werkt.

Het is moeilijk voor te stellen dat dit verandert tenzij de regels worden aangepast om zero-knowledge proofs expliciet toe te staan. En hoewel geen enkel systeem perfect is, neemt ZK-technologie in elk geval de noodzaak weg om zoveel gevoelige informatie te verzamelen en te bewaren. Zoals McMullen het formuleerde: "Je kunt niet verliezen wat je nooit hebt vastgehouden."