Hoe Bybit $1,4 miljard verloor: de grootste crypto-hack ooit uitgelegd (en wat we ervan kunnen leren)

Connect met Like-minded Crypto Enthusiasts! Connect op Discord!

Check onze Discord

Op 21 februari 2025 gebeurde er iets wat we vaak meemaken in de crypto-industrie, maar wat een nachtmerrie is voor elk handelsplatform: de grote exchange Bybit werd slachtoffer van de grootste cryptodiefstal ooit. Meer dan $1,4 miljard aan digitale assets (401.347 ETH) werd via een slimme manier gestolen uit hun cold wallets. Maar hoe kon zoiets groots gebeuren, en dan ook nog bij zo’n professioneel bedrijf?

In dit artikel leggen we op een begrijpelijke manier uit wat er precies misging en wat iedereen in de sector hiervan kan leren.

Wat gebeurde er precies?

Zoals je misschien weet beheert Bybit miljarden aan assets voor haar klanten. Om die veilig op te slaan, gebruiken zij verschillende wallets, waaronder meerdere cold wallets (voor offline beheer) en hotwallets (voor online beheer). De CEO van Bybit, Ben Zhou, legde uit: “Zodra de hot wallet (die dagelijks gebruikt wordt voor transacties) onder een bepaald niveau zakt, wordt deze “opgetopped” vanuit de cold wallet”.

Op 21 februari werd precies zo’n routine-transactie gedaan. De CEO van Bybit initieerde de transactie en de laatste goedkeuring kwam van een van de belangrijkste signers, namelijk de CEO zelf. Bybit gebruikt hiervoor net zoals vele andere organisaties en projecten een veelgebruikte smart contract oplossing: SafeWallet – bekend van safe.global – waarbij meerdere mensen een transactie moeten ondertekenen. Dit noemen we ook wel een multisig-oplossing. Dat is kort voor ‘multi signature’.

Maar toen ging het mis.

Hoe konden hackers toch toeslaan?

1. Slimme trucjes buiten de blockchain (Off-Chain)

De aanval begon niet op de blockchain, maar in de webinterface die Bybit’s medewerkers gebruikten om de transactie goed te keuren. Via een besmette ontwikkelaarsmachine hadden deze slimme aanvallers kwaadaardige JavaScript-code in de SafeWallet-applicatie gesmokkeld en ingevoegd. Deze code:

• Herkende wanneer een Bybit-signer (ondertekenaar) actief was.
• Paste stiekem de transactie aan, zodat niet de hot wallet werd bijgevuld, maar dat de controle over de hele cold wallet werd overgedragen aan de hackers.
• Herstelde daarna het originele transactieoverzicht, zodat alles er normaal uitzag.

Met andere woorden: de CEO en de andere signers zagen precies wat ze verwachtten te zien. Maar heel stiekem werd er onder de motorkap iets compleet anders gedaan dan zij dachten.

2. Een technische aanval op de blockchain (On-Chain)

Toen alle drie de signers hun handtekening hadden gezet, werd de transactie uitgevoerd. Maar in plaats van geld naar de hot wallet te sturen, werd in de transactie ongemerkt de logica van het smart contract van de cold wallet aangepast. Dit gebeurde via een technisch trucje genaamd delegatecall, waarmee de hacker de controle overnam. De verdere technische uitleg van delegatecall vind je in dit artikel.

Op dat moment hadden de aanvallers vrij spel om alle fondsen weg te sluizen.

In de Cryptotakkies-podcastaflevering “Ups & Downs | Bitcoin koers & Bybit hack” praten Raoul en Rifa over deze hack.

Mensen maken fouten

Wat deze hack extra pijnlijk maakt, is dat de beveiliging op papier prima leek:

• Bybit gebruikte een multisig wallet
• Er waren meerdere signers, inclusief de CEO zelf
• En Bybit gebruikte daarnaast ook nog eens hardware wallets (offline storage)

Maar toch ging het mis. Dit omdat de signers blind vertrouwden op enerzijds hun proces, maar ook simpelweg wat ze konden waarnemen in de webinterface.

“De technische details van een Ethereum-transactie zijn voor mensen moeilijk te controleren; de Ethereum-code is vaak lang, onduidelijk en technisch” zei de CEO van Bybit. Maar dit is helaas wel de standaardpraktijk. Zelfs als je veilig denkt te werken, kan zoiets gebeuren. En dit kan echt iedereen gebeuren.

Wat gebeurde er daarna?

Zoals bij iedere grote hack ontstond direct angst bij klanten. Er volgde een golf aan opnames (withdrawals) – mensen wilden hun geld veiligstellen.

Bybit verzekerde snel dat klanten zich geen zorgen hoefden te maken om hun tegoeden, gezien ze meer dan voldoende kapitaal in hun Treasury hadden zitten. Uiteindelijk ging het om ongeveer 1/20e van de totale assets die Bybit beheerde. In totaal gaf Bybit aan rond de $20 miljard aan klanttegoeden te beheren; deze hack betrof dus “slechts” 5% daarvan. Maar de impact was en is alsnog enorm.

En hoewel we al eerder hadden vermeld dat Bybit zich eigenlijk aan het complete lijstje van veiligheidsmaatregelen had gehouden, wilden klanten tijdens de live-stream toch nog vragen of er nog meer beveiligingsopties mogelijk waren. Ze kwamen met opmerkingen en suggesties zoals:

• Kan Bybit niet meerdere hardware wallets gebruiken?
• Kan Bybit niet betere multisig oplossingen toepassen?
• En hoe staat het ervoor met de proof of reserves van Bybit?

De belangrijkste lessen uit deze hack!

Deze hack is een schoolvoorbeeld van hoe de menselijke factor en kleine technische details, zelfs met de beste tools en processen, tot grote gevolgen kunnen leiden.

Hier de belangrijkste lessen:

1. Beperk onnodige complexiteit

Bybit gebruikte een geavanceerde wallet-oplossing die meer functies bood dan ze nodig hadden. Een simpelere wallet, zonder delegatecall-mogelijkheid, had dit kunnen voorkomen.

2. Vertrouw niet blind op interfaces

De signers vertrouwden op wat de webapplicatie liet zien. Maar hackers kunnen dat manipuleren. Hardware wallets met duidelijke, leesbare transactiedetails (EIP-712) hadden dit misschien kunnen voorkomen.

3. Bouw extra controles in

Sinds de aanval heeft Safe{Wallet} hun software aangepast zodat onjuiste transactiehandtekeningen automatisch worden geweigerd. Zulke verificatiestappen zouden standaard moeten zijn.

Houd rekening met menselijke fouten

Zelfs ervaren gebruikers kunnen zich vergissen. Zeker als transacties technisch complex, haastig of routinematig plaatsvinden.

En hoewel dit achteraf makkelijk praten is, is het zaak dat we elkaar blijven attenderen op het nemen van voorzorgsmaatregelen en elkaar helpen om scherp te blijven. Want het herstellen van verlies is vaak duurder dan het vooraf beschermen van kapitaal (tenzij je het natuurlijk heel bont wilt maken).

Mocht je in-depth willen lezen hoe de code eruit zou kunnen hebben gezien, dan kun je dit artikel van nccgroup lezen. Dat artikel hebben wij – naast het bekijken van de livestream – ook goed doorgespit voor dit artikel.

Stay safe!

Best wallet - betrouwbare en anonieme wallet

Best wallet - betrouwbare en anonieme wallet

• Meer dan 60 chains beschikbaar voor alle crypto
• Vroege toegang tot nieuwe projecten
• Hoge staking belongingen
• Lage transactiekosten

Best wallet review

Koop nu via Best Wallet

Let op: cryptocurrency is een zeer volatiele en ongereguleerde investering. Doe je eigen onderzoek.

Geef een reactie