Bitcoin-gebruikers kregen binnen een etmaal twee waarschuwingen tegelijk te verwerken. Een frauduleuze advertentie die zich voordeed als hardwarefabrikant Trezor probeerde gebruikers naar een neppagina te lokken, terwijl in dezelfde periode een lek in de populaire betaalsoftware BTCPay Server actief werd misbruikt. Twee losse incidenten, maar samen leggen ze de kwetsbaarheden bloot die de infrastructuur rond Bitcoin nog altijd kent.
Een nepadvertentie met de naam Trezor
De phishingcampagne draaide om een advertentie die de naam en uitstraling van Trezor gebruikte. Wie erop klikte, belandde niet op de echte site maar op een namaakomgeving die was ontworpen om inloggegevens of herstelzinnen te ontfutselen. Zulke aanvallen mikken bewust op het zwakste punt in de keten: niet de hardware zelf, maar de gebruiker die argeloos zijn seed-phrase intikt.
Advertenties zijn een geliefd kanaal voor dit soort oplichting. Ze verschijnen bovenaan zoekresultaten, dragen de vertrouwde merknaam en ogen daardoor legitiem. Het onderliggende mechanisme is oud, maar effectief: een hardware wallet beschermt de sleutels prima zolang de bezitter zijn herstelzin nergens invoert. Zodra die zin op een frauduleuze pagina belandt, is de bescherming van de fysieke wallet waardeloos.
Actief misbruikt lek in BTCPay Server
Het tweede incident raakt een ander deel van de Bitcoin-wereld. BTCPay Server is open-source software waarmee ondernemers en projecten betalingen in Bitcoin kunnen ontvangen zonder tussenpersoon. Juist die zelfstandigheid is de aantrekkingskracht: geen betaalprovider die meekijkt of geld inhoudt. Maar wie zelf de software beheert, draagt ook zelf de verantwoordelijkheid voor de beveiliging.
Het gemelde lek werd niet theoretisch, maar in de praktijk misbruikt. Voor beheerders van een BTCPay-installatie betekent dat directe actie: updaten naar de laatst beveiligde versie en controleren of onbevoegden toegang hebben gehad. Bij zelfgehoste software ligt de druk om snel te patchen volledig bij de eigenaar, anders dan bij een centrale dienst die zijn klanten automatisch beschermt.
Twee incidenten, één les
De twee zaken staan los van elkaar, maar wijzen op hetzelfde patroon. Naarmate Bitcoin meer waarde vertegenwoordigt, groeit de prikkel voor aanvallers om zowel de mens als de infrastructuur eromheen aan te vallen. Niet het protocol zelf staat onder druk, wel de randen: advertenties, betaalsoftware, browsers en gebruikersgedrag.
De praktische adviezen zijn nuchter. Bezoek de site van een walletfabrikant via een direct ingetypt adres in plaats van via een advertentie. Voer een herstelzin nooit online in, want geen enkele legitieme partij vraagt daarom. En houd zelfgehoste software zoals BTCPay Server actueel, zodat bekende lekken snel gedicht zijn.
Zelfbeheer vraagt om discipline
De kern van Bitcoin is dat een gebruiker zijn eigen bank kan zijn. Dat geeft controle, maar verplaatst ook de verantwoordelijkheid. Waar een bank een frauduleuze overboeking soms nog terugdraait, bestaat die vangrail bij zelfbeheerde tegoeden niet. Een verkeerde klik of een niet-geïnstalleerde update kan onomkeerbaar zijn.
Voor de bredere markt zijn dit soort voorvallen geen koersbewegers, maar ze houden een structureel thema levend. Zolang bewaring en betaalinfrastructuur bij de gebruiker liggen, blijft educatie net zo belangrijk als de techniek zelf. Van een acuut risico voor de meeste bezitters is geen sprake, mits de basisregels worden gevolgd. Voorzichtigheid en gezonde argwaan blijven daarbij de beste bescherming.
