Een grote hack via NPM, de “app store” voor software-ontwikkelaars, heeft de cryptosector opgeschrikt. Hackers probeerden miljoenen wallets te bereiken, maar de buit bleef beperkt: minder dan 50 dollar. Toch tonen experts zich bezorgd over de gevolgen.
Lees ook: WLFI tokens direct na lancering gehackt via Ethereum-fout
Hoe de aanval via NPM op crypto-projecten verliep
Hackers kregen toegang tot het Node Package Manager (NPM)-account van een bekende ontwikkelaar. NPM is een platform waar programmeurs kleine softwarepakketten delen om projecten te bouwen. Deze pakketten worden wereldwijd gebruikt en miljarden keren per week gedownload.
De aanvallers plaatsten malware in populaire JavaScript-bibliotheken. De software richtte zich vooral op crypto-wallets van Ethereum en Solana. De malware werkte als een zogenoemde crypto-clipper, een programma dat ongemerkt walletadressen vervangt tijdens transacties. Zo worden fondsen omgeleid naar een kwaadaardig adres.
Beveiligingsplatform Security Alliance ontdekte dat slechts één Ethereum-adres werd gebruikt. De buit bedroeg aanvankelijk vijf cent, maar liep later op tot zo’n 50 dollar.
Ontvang €50 gratis Bitcoin bij Finst
Finst is het snelst groeiende crypto platform van Nederland. Handel veilig en transparant met de laagste kosten van slechts 0,15%.
➤ Claim €50 gratis Bitcoin*Alleen voor nieuwe gebruikers – Actie geldt tijdelijk
Groot gevaar, kleine schade
Volgens experts had de hack veel ernstiger kunnen zijn. Met toegang tot pakketten die miljarden keren per week worden gedownload, hadden hackers miljoenen ontwikkelaars en projecten kunnen raken.
Een onderzoeker vergeleek het met het vinden van de sleutel van Fort Knox en die alleen gebruiken als bladwijzer. De malware verspreidde zich breed, maar werd inmiddels grotendeels uitgeschakeld. Toch blijft de aanval een serieuze waarschuwing voor de cryptosector.
Reacties uit de cryptowereld
De NPM-hack leidde tot veel bezorgdheid bij beveiligingsexperts. Charles Guillemet, Chief Technology Officer van Ledger, benadrukte dat gebruikers alert moeten zijn bij transacties. Supply chain-aanvallen zijn verraderlijk omdat de besmetting vaak diep in de software verborgen zit.
Niet alle platforms zijn getroffen. Ledger en MetaMask gaven aan dat hun systemen veilig zijn gebleven dankzij meerdere lagen bescherming. Ook Uniswap en Phantom Wallet verklaarden geen kwetsbare pakketten te gebruiken. Andere diensten zoals Blockstream Jade en Revoke.cash bevestigden eveneens dat ze niet geraakt zijn.
Start vandaag met handelen op Bitvavo
Bitvavo is het populairste crypto platform van Nederland. Koop eenvoudig Bitcoin, Ethereum en meer dan 200 andere munten. Laagste handelskosten en iDEAL-ondersteuning.
➤ Open gratis je Bitvavo accountWie loopt risico?
Volgens 0xngmi, oprichter van analyseplatform DefiLlama, lopen vooral projecten risico die na de infectie een update uitvoerden. Zelfs dan moeten gebruikers de kwaadaardige transacties nog handmatig goedkeuren.
Hij adviseert gebruikers daarom voorzichtig te zijn. Het kan veiliger zijn om tijdelijk geen onbekende crypto-websites te gebruiken totdat ontwikkelaars de geïnfecteerde pakketten volledig hebben verwijderd.
Wat deze hack de crypto-industrie leert
De aanval laat zien hoe kwetsbaar de cryptosector is voor supply chain-aanvallen. Omdat zoveel projecten afhankelijk zijn van open-sourcebibliotheken, kan één besmet pakket gevolgen hebben voor duizenden gebruikers.
Hoewel de schade dit keer minimaal bleef, waarschuwen experts dat de volgende aanval zwaarder kan uitpakken. Hackers zouden de toegang die ze krijgen beter kunnen benutten en miljoenen buit kunnen maken.
Belangrijkste lessen voor de sector
Uit de hack komen drie duidelijke lessen naar voren:
- Crypto-projecten moeten strengere controle toepassen op gebruikte software.
- Gebruikers moeten transacties altijd zorgvuldig controleren, zelfs op vertrouwde platforms.
- Ontwikkelaars moeten sneller reageren bij signalen van besmette pakketten.
Vooruitkijken na de NPM-hack
De cryptowereld kan opgelucht zijn dat de schade beperkt bleef. Toch is dit incident een duidelijke wake-upcall. Hackers hebben laten zien hoe kwetsbaar de sector kan zijn.
Voor gebruikers betekent dit dat extra alertheid bij transacties noodzakelijk blijft. Voor ontwikkelaars is het een oproep om beveiliging van softwareketens serieuzer te nemen.
De grootste NPM-hack in de cryptowereld leverde misschien maar $50 op. Toch toont het aan dat één zwakke schakel genoeg is om de hele sector in gevaar te brengen.
Lees ook: Crypto hacks in augustus 2025 veroorzaken $163 miljoen schade
