NFT: zes mensen in de VS aangeklaagd voor het leegtrekken van wallets vanuit Madagaskar

Op 28 oktober 2026 zijn zes personen in de Verenigde Staten aangeklaagd voor hun vermeende rol in een grootschalige operatie om crypto-activa wallets leeg te trekken, gericht op NFT-houders vanuit Madagaskar. Deze zaak, die naar schatting heeft geleid tot verliezen van meer dan 500.000 dollar, illustreert de aanhoudende kwetsbaarheid van gebruikers voor aanvallen die gebruikmaken van frauduleuze handtekeningmachtigingen, een risico dat verschilt van technische fouten in blockchains. De NFT-markt heeft, na een piek in enthousiasme in 2021-2022, een sterke terugval gekend, waarbij de totale marktkapitalisatie sinds het hoogtepunt met een derde is afgenomen. Ondanks deze daling blijven aanvallen op verzamelaars en investeerders frequent, vaak via "wallet draining"-technieken – kwaadaardige scripts die slachtoffers aanzetten tot het ondertekenen van transacties die toegang geven tot hun activa. Deze aanvallen maken minder gebruik van kwetsbaarheden in protocollen dan van tekortkomingen in het begrip van gebruikers, met name op het gebied van machtigingsbeheer. De huidige zaak maakt deel uit van een reeks Amerikaanse rechtszaken tegen fraude met crypto-activa, wat de groeiende wil van autoriteiten weerspiegelt om illegale activiteiten op blockchains te bestraffen. De keuze voor Madagaskar als vermeende basis van de operaties herinnert aan de uitdagingen die gepaard gaan met de lokalisatie van kwaadwillende actoren in een gedecentraliseerd ecosysteem, waar geografische grenzen vervagen. Bovendien zou de NFT-markt, die al verzwakt is door een daling van de liquiditeit, te maken kunnen krijgen met toenemend wantrouwen als dergelijke zaken zich vermenigvuldigen. Volgens The Defiant , overgenomen door CryptoActu , schat de FBI de verliezen in deze zaak op 516.695 dollar, verdeeld over 74 wallets die als slachtoffer zijn geïdentificeerd. De aanklachten zijn gericht tegen zes personen, wiens identiteiten en exacte beschuldigingen niet zijn vrijgegeven. De vermeende operaties zouden vanuit Madagaskar zijn gecoördineerd, hoewel de details over de coördinatiemechanismen of de gebruikte infrastructuren onduidelijk blijven. De gegevens van CryptoScore Pro op 28 oktober 2026 om 00:19 UTC wijzen op een relatief stabiele marktcontext, met Bitcoin (BTC) op 80.671 dollar (+0,67% over 24 uur) en Ether (ETH) op 2.344 dollar (+0,82% over 24 uur). De Crypto Fear & Greed index stond op 48/100 op 27 oktober, wat duidt op een neutrale stemming onder beleggers. Deze indicatoren suggereren dat de zaak geen onmiddellijke impact heeft gehad op de koersen van de belangrijkste cryptovaluta. De verliezen betreffen voornamelijk fungibele tokens, in het bijzonder USDT, in plaats van de NFT's zelf, hoewel deze laatste als toegangspunt voor de aanvallen dienden. Het mechanisme is gebaseerd op onbeperkte uitgavebevoegdheden ( setApprovalForAll ), waardoor aanvallers activa kunnen overboeken zonder nieuwe validatie van het slachtoffer. Er is geen informatie gecommuniceerd over de specifiek viserede NFT-collecties, noch over het traject van de fondsen na hun overdracht. De affidavit van de FBI, geciteerd door de bron, noemt onbeperkte USDT-bevoegdheden als de belangrijkste vector van de aanval. Dit type toestemming, vaak gebruikt bij interacties met smart contracts, kan worden misbruikt als het ontvangende adres wordt beheerd door kwaadwillende actoren. In tegenstelling tot de diefstal van een private key, vereist deze methode niet dat de beveiliging van de wallet direct wordt gecompromitteerd, maar maakt het gebruik van een handtekening die onder valse voorwendselen is verkregen. Kernbegrippen begrijpen Wallet drainer Een wallet drainer is een script of kwaadaardig programma dat is ontworpen om een wallet van crypto-activa leeg te maken door de eigenaar aan te sporen een transactie of toestemming te ondertekenen. In tegenstelling tot een klassieke hack, die een technische kwetsbaarheid zou exploiteren, is deze methode gebaseerd op misleiding: het slachtoffer denkt een onschuldige operatie te ondertekenen (zoals de aankoop van een NFT of toegang tot een dienst), terwijl hij in werkelijkheid uitgebreide toegang tot zijn fondsen verleent. Bijvoorbeeld, een gebruiker zou kunnen klikken op een frauduleuze link die een airdrop belooft, en vervolgens een toestemming valideren waarmee de aanvaller al zijn USDT kan overboeken zonder verdere bevestiging. Uitgavebevoegdheid ( approval of setApprovalForAll ) Een uitgaveautorisatie (spending allowance) is een functionaliteit van blockchains zoals Ethereum, waarmee een gebruiker een smart contract of een extern adres het recht geeft om bepaalde activa te verplaatsen. Wanneer bijvoorbeeld een NFT-houder interactie heeft met een marktplaats zoals OpenSea, moet hij vaak een autorisatie ondertekenen zodat het platform zijn tokens kan overdragen bij een verkoop. Een onbeperkte autorisatie geeft permanente toegang, zolang deze niet wordt ingetrokken. In de Malagassische zaak zouden de aanvallers dit mechanisme hebben misbruikt door USDT-autorisaties te verkrijgen, waardoor ze de fondsen van slachtoffers konden aftappen zonder hen te waarschuwen. Seed phrase en beveiliging van wallets De seed phrase (of herstelzin) is een reeks woorden die wordt gegenereerd bij het aanmaken van een crypto-asset wallet en dient als hoofdsleutel voor toegang tot de fondsen. Als deze zin in handen van anderen valt, kan een aanvaller de volledige controle over de wallet overnemen. Echter, in het geval van wallet drainers wordt de seed phrase niet noodzakelijkerwijs gestolen: het is een kwaadaardige autorisatie die de drainage mogelijk maakt. Dit benadrukt een veelvoorkomende beperking in de perceptie van beveiliging: het beschermen van je seed phrase is niet voldoende als er gevaarlijke autorisaties actief blijven. Een gebruiker kan bijvoorbeeld een beveiligde wallet hebben, maar zijn fondsen verliezen na het ondertekenen van een onbeperkte autorisatie voor een frauduleus contract. Analyse: de belangen De zaak van de…