Eén natiestaat eigende zich in de eerste helft van 2026 zo’n twee derde toe van elke gestolen cryptodollar wereldwijd.
Dat is geen afrondingsverschil. En ook niet het resultaat van één spectaculaire kraak.
Het is de uitkomst van een langdurige, geïnstitutionaliseerde hackoperatie – een programma dat al bijna tien jaar zijn methodes verfijnt en inmiddels alle andere dreigingsactoren in de cryptowereld samen inhaalt.
De schaal is verbluffend, zelfs naar de maatstaven van cryptocriminaliteit, een sector die nooit om grote cijfers verlegen zit.
Noord-Korea-gelieerde groepen waren volgens blockchainbeveiligingsonderzoekers in H1 2026 goed voor 66,2% van alle wereldwijde verliezen door digitale-asset-hacks.
Die concentratie van verliezen in één dreigingscluster markeert een kwalitatieve omslag in het risicoprofiel van de hele sector. En dat terwijl institutioneel kapitaal juist in het hoogste tempo sinds 2021 de cryptomarkt binnenstroomt.
TL;DR
- Noord-Korea-gelieerde hackers waren in de eerste helft van 2026 verantwoordelijk voor 66,2% van alle cryptohack-verliezen – een nieuw piekniveau in door staten gesteunde cryptodiefstal.
- De Lazarus Group en aanverwante DPRK-eenheden zijn geëvolueerd van opportunistische exchange-hacks naar strak georganiseerde operaties tegen DeFi-protocollen, crosschain-bruggen en via sociale engineering van developers.
- De buit financiert rechtstreeks Noord‑Korea’s wapenprogramma’s, waardoor cryptobeveiliging een geopolitieke kwestie is geworden die toezichthouders in Washington, Brussel en Seoul met toenemende urgentie benaderen.
De 66%-maatstaf en wat er écht wordt gemeten
Voor we naar de strategische implicaties kijken, verdient de methodologie achter dit getal aandacht.
De 66,2% verwijst naar het aandeel in alle geverifieerde verliezen door cryptohacks dat in H1 2026 kan worden toegeschreven aan met Noord-Korea verbonden wallets. Onderzoekers gebruiken on‑chain forensische technieken om geldstromen te volgen vanaf de initiële diefstal, via mixers, tot en met het uiteindelijke uitcashen.
Chainalysis, dat de meest uitgebreide langjarige data over cryptocriminaliteit publiceert, meldde in zijn Crime Report 2024 dat Noord-Korea-gelieerde groepen in 2023 circa 1,34 miljard dollar stalen in 47 incidenten – goed voor 61% van de totale buit dat jaar.
Het cijfer over H1 2026 duidt op verdere concentratie. De kloof tussen de capaciteiten van Noord-Koreaanse eenheden en die van andere hackers lijkt niet te krimpen maar juist te vergroten.
Die 66,2% is het hoogste aandeel staatsgesteunde diefstal van digitale assets dat ooit in een halfjaarperiode is geregistreerd.
Belangrijk is ook wat in die 66% níet zit.
Exit-scams, rug pulls en bredere fraudevormen blijven buiten beeld – categorieën die Chainalysis normaliter apart registreert. De noemer omvat alleen geverifieerde hackverliezen.
Als je alle categorieën cryptocriminaliteit meeneemt, daalt het procentuele aandeel van DPRK. Maar het verandert niets aan het absolute dollarbedrag dat is buitgemaakt.
Lees ook: XRP-spotvraag stijgt terwijl Binance-perps waarschuwingssignaal van $783 miljoen afgeven
Hoe de Lazarus Group een cryptosupermacht werd
De Lazarus Group – de verzamelnaam die Amerikaanse inlichtingendiensten en particuliere onderzoekers hanteren voor de meest capabele Noord-Koreaanse cyberunits – begon niet als crypto-operatie.
In het begin draaide het profiel rond destructieve aanvallen, bankovervallen via misbruik van het SWIFT-netwerk en ransomware.
De draai naar crypto kwam geleidelijk op gang. Rond 2017 begon de groep in ernst aanvallen op Zuid-Koreaanse exchanges, waarna de operatie fors werd opgeschaald na de Ronin Network-hack in 2022.
De Ronin-hack, waarbij Lazarus Group ongeveer $625 miljoen weghaalde uit de Axie Infinity-sidechain, was een strategisch keerpunt.
Die kraak maakte duidelijk dat DeFi-infrastructuur – met complexe smart contracts, kwetsbare crosschain-bruggen en social-engineeringkansen bij developers – een veel lucratiever aanvalsvlak bood dan gecentraliseerde exchanges, die hun verdediging na een decennium vol hacks hadden opgetuigd.
De diefstal van 625 miljoen dollar in maart 2022 is nog altijd de grootste DeFi-hack ooit. Ze fungeerde als blauwdruk voor latere Noord-Koreaanse cryptocampagnes.
Sinds 2022 heeft de groep drie aanvalslijnen systematisch verfijnd.
De eerste is het compromitteren van developer-accounts – vaak via neppe LinkedIn-vacatures waarbij malware wordt geïnstalleerd zodra een slachtoffer een document opent of een repository draait.
De tweede is het uitbuiten van crosschain-bruggen, gericht op de smart contract‑logica die overdrachten van assets tussen netwerken valideert.
De derde is supply‑chain‑aanvallen op softwaredependencies die door cryptoprotocols worden gebruikt – een methode uit de traditionele cybersecurity, nu vertaald naar blockchaindoelen.
Lees ook: Eng vs Ind is voor prediction-markett raders allang meer dan alleen cricket
Van exchanges naar DeFi: een verschoven doelwitprofiel
De vroege geschiedenis van grote cryptohacks werd gedomineerd door aanvallen op gecentraliseerde exchanges. Mt. Gox in 2014, Bitfinex in 2016, Coincheck in 2018. Daarbij werden hot wallets gecompromitteerd, API-lekken uitgebuit of insiders omgekocht. Het waren vaak opportunistische criminele bendes, geen door staten gesteunde operaties met institutionele rugdekking.
De huidige Noord-Koreaanse aanpak is wezenlijk anders. TRM Labs constateerde in zijn 2024 Crypto Threat Intelligence-rapport dat het aandeel van de totale Noord-Koreaanse cryptobuit dat afkomstig is uit DeFi-exploits, en niet langer uit exchange-hacks, steeg van grofweg 30% in 2021 tot boven 70% in 2024. Die verschuiving volgt de groei van on‑chain liquiditeit.
De totale ‘total value locked’ in DeFi-protocollen piekte wereldwijd boven de 180 miljard dollar eind 2021, daalde fors in de bear market van 2022 en is inmiddels hersteld naar niveaus die opnieuw aantrekkelijk zijn voor aanvallers. Volgens DefiLlama-data lag de wereldwijde DeFi‑TVL medio 2026 boven de 110 miljard dollar, waarbij crosschain-bruggen een onevenredig groot deel van die waarde in pools beheren.
DeFi-brugcontracten zijn structureel aantrekkelijke doelwitten voor geavanceerde aanvallers, omdat ze grote liquiditeitspools in één smart contract concentreren en leunen op complexe crosschain‑validatie die moeilijk volledig te auditen is.
Crosschain-bruggen werden een speerpunt voor DPRK-eenheden vanwege hun unieke risicoprofiel. Een brug moet verklaringen vertrouwen van een extern netwerk dat hij niet native kan verifiëren. De validatielogica is complex en leunt vaak op een multisig‑commissie of een light‑client‑proof. Beide modellen bevatten impliciete aannames die zijn uit te buiten. De Ronin‑brug gebruikte een negen‑van‑negen‑multisig die in de praktijk werd teruggebracht naar een vijf‑van‑negen‑drempel via social engineering. Aan die drempel voldeden de aanvallers, waarna ze legitiem lijkende transacties konden ondertekenen en de brug konden leegtrekken.
Lees ook: Is Fable 5 de dubbele prijs waard nu Opus 4.8 nog steeds levert?
Nepbanen en developers: de sociale‑engineeringlijn
De meest consequente – en onderschatte – component van de Noord-Koreaanse campagne in H1 2026 is de sociale‑engineeringinfrastructuur die zich richt op individuele developers en protocolmedewerkers. Dit is geen hack in de klassieke, puur technische zin, maar een langdurige, relationele inlichtingenoperatie die uiteindelijk uitmondt in code‑executie.
Het standaardrecept, uitgebreid gedocumenteerd door Mandiant in zijn APT38-analyse en door de Amerikaanse Cybersecurity and Infrastructure Security Agency in CISA Alert AA22-108A, draait om Noord-Koreaanse operatives die geloofwaardige LinkedIn‑profielen opzetten, vaak met AI‑gegenereerde profielfoto’s. Ze benaderen developers bij cryptoprojecten met freelance‑opdrachten, baanvoorstellen of verzoeken om code review.
In gedocumenteerde gevallen onderhielden deze operatives weken- tot maandenlang contact met cryptodevelopers op LinkedIn, met technische discussies over exact hun codebase, vóórdat de uiteindelijke malware‑payload werd gestuurd.
Zodra een doelwit toehapt, volgt uiteindelijk een bestand dat lokaal moet worden uitgevoerd. Dat kan een pdf zijn met ingesloten malware, een GitHub‑repository met een kwaadaardige dependency of een neppe technische test die een backdoor installeert.
Heeft de aanvaller eenmaal een voet tussen de deur op de machine van de developer, dan kunnen privésleutels worden buitgemaakt, sessietokens voor interne systemen en inloggegevens voor cloud‑infrastructuur waarmee protocollen worden uitgerold en beheerd.
De verfijning van deze tradecraft weerspiegelt een institutionele investering in capaciteitsopbouw die geen enkele particuliere bende kan evenaren. Noord-Koreaanse cyberunits zijn staatsmedewerkers die fulltime trainen, onder strikte operationele veiligheidsprotocollen werken en jarenlange kennis hebben opgebouwd over welke protocollen kwetsbaar zijn en welke developers benaderbaar.
Lees ook: TeraWulf-aandeel schiet omhoog nu Anthropic-deal bitcoinminer in $19 mrd AI‑pivot verandert
De wasstraat achter de diefstalcijfers
Crypto stelen is pas stap één. Het omzetten in bruikbare regime‑inkomsten vergt een uitgekiende witwas‑keten die op zichzelf onderwerp is geworden van intensief on‑chain onderzoek. Juist in de fase ná de hack – bij de verplaatsing van de buit – kunnen onderzoekers aanvallen het meest overtuigend aan Noord-Korea toeschrijven, omdat de groep herkenbare gedragspatronen heeft ontwikkeld. patronen in de manier waarop fondsen worden verplaatst en verhuld.
Chainalysis heeft het standaard-wasstraject van de DPRK in kaart gebracht als een meertrapsproces. Geroofde cryptoactiva worden eerst via on-chain gedecentraliseerde beurzen omgezet in Ethereum (ETH) of Bitcoin (BTC). Daarmee worden weinig verhandelbare, protocolspecifieke tokens ingeruild voor zeer liquide munten. Vervolgens gaan die middelen door mixers, waarbij de groep historisch sterk leunde op Tornado Cash totdat de OFAC-sanctie in augustus 2022 hen dwong uit te wijken naar andere verbergingsdiensten, zoals Sinbad en Yomix – die inmiddels eveneens door de VS zijn gesanctioneerd.
OFAC plaatste mixer Sinbad in november 2023 en Yomix in april 2025 op de sanctielijst. Dat onderstreept het kat-en-muisspel: elk nieuw DPRK-wasinstrument wordt uiteindelijk geraakt door sancties, waarna de groep weer uitwijkt naar nieuwe infrastructuur.
Na de mixingfase worden fondsen via een netwerk van geneste exchange-accounts geleid, OTC-brokers in landen met zwakke of niet-bestaande AML-handhaving en peer-to-peerplatforms. De uiteindelijke “off-ramp” loopt traditioneel via cryptobeurzen in Oost- en Zuidoost-Azië met gebrekkige KYC-processen. Een rapport van de United Nations Panel of Experts uit 2024 stelde expliciet dat opbrengsten uit cryptodiefstal een primaire financieringsbron vormen voor het Noord-Koreaanse ballistische raketprogramma, en schatte dat crypto-inkomsten circa 40% van de buitenlandse-valutabehoefte voor de ontwikkeling van massavernietigingswapens dekken.
Lees ook: Ethereum Kan Naar Een Bijna-Nul-Status Onder Buterins Meest Radicale Lean Chain-plan
De Reguleringsrespons En Haar Grenzen
De Amerikaanse overheid zet een breed arsenaal in tegen de Noord-Koreaanse crypto-operaties, variërend van OFAC-noteringen van wallets en mixingdiensten tot FBI-attributieberichten rond specifieke hacks en gezamenlijke waarschuwingen met bevriende inlichtingendiensten. Het Department of Justice heeft meerdere geïdentificeerde DPRK-operatoren aangeklaagd, al zijn daadwerkelijke vervolging en uitlevering in de praktijk vrijwel uitgesloten.
De beperking van de Amerikaanse aanpak is structureel. Sancties op walletadressen werken alleen tegen partijen die zich uiteindelijk via gereguleerde financiële infrastructuur laten uitbetalen. Voor geavanceerde actoren die via jurisdicties buiten het Amerikaanse AML-bereik opereren, hebben ze slechts beperkte impact. De OFAC-actie tegen Tornado Cash was ingrijpend en omstreden, maar Noord-Korea wist zich binnen enkele maanden aan te passen door uit te wijken naar vervangende infrastructuur.
Het Department of Justice heeft in totaal zeven bij naam genoemde Noord-Koreaanse militaire hackers aangeklaagd voor cryptodiefstal, maar geen van hen is voor de rechter verschenen. De tenlasteleggingen fungeren vooral als attributie-instrument en als afschrikmiddel voor derde partijen die anders mogelijk transacties zouden faciliteren.
De Financial Action Task Force, de intergouvernementele instelling voor AML-standaarden, heeft Noord-Korea geklasseerd in de hoogste risicocategorie en doet een permanente oproep aan lidstaten om verscherpte due diligence toe te passen op transacties met een DPRK-link. Maar FATF-aanbevelingen zijn niet bindend, en de jurisdicties die voor Noord-Korea het meest bruikbaar zijn als off-ramp, zijn vaak geen FATF-lid of hebben een zeer magere implementatiegraad.
De Europese Markets in Crypto-Assets Regulation (MiCA), die eind 2024 volledig in werking trad, bevat een travel rule-verplichting, waardoor de identiteit van de tegenpartij moet worden vastgelegd bij cryptotransacties boven bepaalde drempels. Voorstanders stellen dat daarmee een aantal OTC-off-rampkanalen dichtslibt. Critici wijzen erop dat de DPRK-operaties voldoende geavanceerd zijn om KYC-eisen te omzeilen via unhosted wallets en jurisdicties buiten het Europese bereik.
Lees ook: Meta’s Muse Image Maakt Van Instagram Ruw Materiaal Voor AI-Kunst
Wat De On-Chain Forensische Data Echt Laten Zien
De toeschrijving van cryptodiefstal aan Noord-Korea is geen politieke stellingname, maar rust op verifieerbare on-chain data die elke onderzoeker met toegang tot publieke blockchaininformatie en clusteringtools kan reproduceren. Begrijpen hoe die attributie tot stand komt, is cruciaal om de geloofwaardigheid ervan te beoordelen.
Wanneer de DPRK een protocol plundert, is de eerste transactie direct zichtbaar op de blockchain. De geroofde middelen worden naar door de aanvaller beheerde wallets gestuurd, die vervolgens een reeks swaps, cross-chain bridges en mixingacties uitvoeren. Elliptic, een andere blockchainanalysepartij, heeft een uitgebreide methode gepubliceerd waaruit blijkt dat DPRK-wallets in clusters terugkomen rond herkenbare gedragspatronen: karakteristieke timing, vaste voorkeuren voor bepaalde swap-routes, typische ‘dust’-bedragen die in tussenwallets achterblijven en de neiging om geroofde funds langere tijd stil te laten staan binnen een walletcluster voordat ze weer worden verplaatst.
De walletclustering van Elliptic heeft inmiddels meer dan 15.000 adressen geïdentificeerd die in verband worden gebracht met DPRK-diefstaloperaties. Dat vormt een grafiek van onderling verbonden wallets die forensische analisten gebruiken om geldstromen te volgen, zelfs ná het gebruik van mixers.
De attributiemededelingen van de FBI rond specifieke hacks – onder meer de Alphapo-inbraak en de exploit van Atomic Wallet in 2023 – bouwen voort op deze forensische aanpak, aangevuld met geclassificeerde signals intelligence.
De combinatie van publieke on-chain data en inlichtingenwerk levert een mate van zekerheid op die hoger ligt dan bij traditionele cybercrimeonderzoeken, waar een dergelijk transparant transactiespoor ontbreekt.
Lees ook: Saylor Zegt Dat 3,3% Bitcoin-Groei Genoeg Is Om Dividendstrategie In Stand Te Houden
Het IT-Werkerschema Als Parallelle Inkomstenstroom
Los van de hackoperaties runt de DPRK een parallel cryptoprogramma dat in 2024 en 2025 veel aandacht van opsporingsdiensten trok. Duizenden Noord-Koreanen hebben, met valse identiteiten ondersteund door AI-gegenereerde documentatie en deepfake-video’s, remote banen bemachtigd bij cryptobedrijven en Web3-start-ups in Noord-Amerika en Europa.
Het Department of Justice heeft in mei 2024 veertien personen aangeklaagd wegens een constructie waarbij Noord-Koreaanse IT’ers bij meer dan 300 Amerikaanse bedrijven werden geplaatst, waarbij hun inkomsten werden doorgesluisd naar Pyongyang.
Volgens de aanklacht verdienden individuele werknemers tussen de 250.000 en 300.000 dollar per jaar, met totale opbrengsten van tientallen miljoenen dollars over meerdere jaren.
De aanklacht van mei 2024 documenteerde dat Noord-Koreaanse IT’ers bij Amerikaanse crypto- en technologiebedrijven tot 300.000 dollar per jaar per persoon verdienden. De middelen werden via een netwerk van tussenpersonen in de VS, het VK en China naar de DPRK doorgesluisd.
Het IT-werkerschema is voor de cryptosector bijzonder verraderlijk omdat het intern toegang verschaft tot ontwikkelteams. Een IT’er met legitieme referenties en repositorytoegang vormt een groter risico dan een externe aanvaller die buitenaf probeert door de beveiliging heen te breken.
Meerdere securityonderzoekers hebben gewezen op verdachte patronen in code commits, onverklaarbare repositorytoegang en ongebruikelijke werktijden, die bij security-bewuste cryptobedrijven inmiddels gelden als mogelijke indicatoren voor Noord-Koreaanse IT’ers.
De combinatie van het IT-werkerschema en sociale-engineeringcampagnes gericht op developers zorgt ervoor dat het Noord-Koreaanse aanvalsvlak richting de cryptosector multidimensionaal is. Externe hackers, gecompromitteerde developers via valse baanoffers en geplaatste insiders vormen gelijktijdig actieve dreigingsvectoren.
Lees ook: OpenAI Krijgt Goedkeuring Voor GPT-5.6 Terwijl Trump De Weg Vrijmaakt Voor Grotere AI-Uitrol
De Breed Uitwaaierende Securityrespons Van De Sector
De reactie van de sector op de DPRK-dreiging is substantieel, maar ongelijk verdeeld.
De best gefinancierde protocollen laten hun smart contracts grondig doorlichten vóór livegang, zetten bug bounty-programma’s op met uitkeringen tot in de zes cijfers en bouwen interne securityteams met een achtergrond in offensieve securityresearch.
Die concentratie van securitybudget aan de top weerspiegelt dezelfde machtswet die de cryptomarkt in brede zin kenmerkt.
Immunefi, het toonaangevende Web3-bug bountyplatform, meldde medio 2025 meer dan 100 miljoen dollar aan uitgekeerde beloningen – in ruil voor het opsporen van kwetsbaarheden die potentieel tot miljardenverliezen hadden kunnen leiden.
De grootste individuele beloning tot nu toe bedroeg 10 miljoen dollar voor een whitehat-onderzoeker die een kritieke fout in een groot DeFi-protocol ontdekte voordat deze kon worden misbruikt.
Die focus op topprojecten betekent echter dat kleinere DeFi-protocollen – die samen nog altijd miljarden aan TVL beheren – aanzienlijk minder goed zijn beveiligd.
Het cross-chain bridge-probleem, dat de kern vormt van zoveel grote hacks, heeft intussen geleid tot nieuwe architecturale oplossingen.
De belangrijkste ontwikkeling is de verschuiving richting meer trust-minimalized bridging, waarbij zero-knowledge proofs worden ingezet om de status van de bronketen te verifiëren zonder afhankelijk te zijn van validatorcommissies.
Projecten als Succinct Labs en Polyhedra Network bouwen ZK light client-infrastructuur die er specifiek op is gericht de vertrouwde-commissie-aanname te elimineren die bruggen als Ronin kwetsbaar maakte.
Of deze nieuwe generatie brugarchitecturen de aanvalsvectoren daadwerkelijk structureel weet te verkleinen, zal de komende jaren moeten blijken.Dat de beveiligingsinfrastructuur zich snel genoeg ontwikkelt om de capaciteitsopbouw van Noord-Korea voor te blijven, is allerminst zeker.
Het marktaandeel van 66% in de eerste helft van 2026 laat zien dat de aanvaller, ondanks forse investeringen in de sector, gelijke tred weet te houden.
Ook lezen: SpaceXAI wil een cursor-gestuurde Claude-killer nog vóór de $60 mrd-deal rond is
Geopolitieke inzet en het vervolg
Cryptodiefstal is de belangrijkste bron van harde valuta voor Noord-Korea.
Dat is geen stijlfiguur, maar een feitelijk beschreven operatiepraktijk — erkend door het Amerikaanse ministerie van Financiën, de Verenigde Naties en bevriende inlichtingendiensten.
De VN-panel van deskundigen schatte de opbrengsten uit Noord-Koreaanse cryptodiefstal op circa $3 miljard in de periode 2017–2023, met een duidelijk stijgende trend in de jaren daarna.
Die middelen verdwijnen niet in een klassieke staatskas.
Ze vloeien rechtstreeks naar wapenprogramma’s — in het bijzonder naar ballistische raketten en de miniaturisering van kernkoppen, Pyongyangs voornaamste strategische prioriteit.
Elke dollar die uit een DeFi-protocol wordt gestolen, kan zich in de praktijk vertalen in extra materiële en technologische capaciteit voor wapensystemen die Amerikaanse, Zuid-Koreaanse en Japanse defensieplanners expliciet meenemen in hun dreigingsmodellen.
Het VN-panel van deskundigen koppelde die $3 miljard aan diefstal tussen 2017 en 2023 direct aan de financiering van wapenprogramma’s — waardoor blockchainbeveiliging een concreet element is geworden in regionale veiligheidsafwegingen in Noordoost-Azië.
Lees hierna: 5 goedkopere Fable 5-alternatieven: betaal niet te veel voor dagelijkse AI-werkstromen
Slotbeschouwing
Het marktaandeel van 66,2% in H1 2026 is geen curiositeit in de data.
Het is een signaal over de actuele stand van de machtsstrijd tussen een van ’s werelds meest capabele staatscyberprogramma’s en een sector die historisch gezien snelheid naar de markt belangrijker vond dan operationele beveiliging.
Het verloop van die strijd — van opportunistische exchange-hacks in 2017, via de Ronin-bridge-hack in 2022, tot de huidige multidimensionale campagne die tegelijk ontwikkelaars, bruggen en insiders viseert — schetst een dreigingsactor die sneller leert, zich aanpast en opschaalt dan de defensieve investeringen van de sector kunnen bijbenen.
De structurele factoren die in het voordeel van Noord-Korea werken, verdwijnen op korte termijn niet.
Pyongyang beschikt over een institutioneel ingebedde cyberkracht met geen verleiding van de private sector, geen publieke verantwoording en een expliciet staatsmandaat om op elke denkbare manier inkomsten te genereren.
De cryptosector kent daarentegen een gefragmenteerd beveiligingslandschap. De meest waardevolle protocollen zijn steeds beter verdedigd — maar de lange staart van kleinere DeFi-projecten blijft structureel onderbemand en ondergefinancierd.
En cross-chain bridges, de infrastructuur die de verschillende eilanden van liquiditeit in het ecosysteem met elkaar verbindt, blijven architectonisch zo complex dat ze hardnekkig kwetsbare aannames in zich dragen die zich laten uitbuiten.
