Wallet-onderzoek na diefstal: wat je transacties verraden

De casus: een gehackte MetaMask-wallet, leeggehaald in twee transacties

Stel: u opent op een ochtend uw MetaMask en ziet dat uw tokens weg zijn. Niet langzaam weggelekt, maar in twee snelle transacties verdwenen naar een onbekend adres. Misschien klikte u dagen eerder op een link die leek te horen bij een bekende dienst, gaf u een schijnbaar onschuldige goedkeuring af, of plakte u uw seed phrase op een nep-website. Het gevolg is hetzelfde: iemand had toegang en heeft in korte tijd alles weggesluisd.

Wat veel mensen niet weten, is dat juist die twee transacties een schat aan informatie bevatten. Het ontvangende adres, het tijdstip, de gebruikte tokenstandaard en de manier waarop de tokens daarna verder bewegen, vertellen samen een verhaal. Aan die casus hangen wij de rest van deze blog op, omdat een wallet-onderzoek precies bij dat soort details begint.

In het kort: wat een wallet-onderzoek na diefstal oplevert

• Elke transactie staat openbaar en onuitwisbaar op de blockchain; een gestolen wallet traceren begint bij het vastleggen van de transactiehashes en het ontvangende adres.
• Een crypto-adres volgen laat de route van de tokens zien, herkent patronen en bepaalt of de tegoeden richting een gereguleerde dienst stromen.
• Wat uw transacties verraden gaat verder dan het bedrag: timing, goedkeuringen en de gebruikte adressen wijzen vaak op een herkenbare werkwijze.
• Paucitas brengt dit spoor onafhankelijk in kaart en is 24/7 bereikbaar, omdat snelheid in de eerste uren het verschil maakt.

Wat verraden mijn transacties na een wallet-hack?

Een transactie is meer dan een verplaatsing van waarde. In de casus van de gehackte MetaMask-wallet ziet u twee uitgaande transacties: vaak eerst een goedkeuring of een testbedrag, daarna de hoofdverplaatsing. Die volgorde verraadt al iets over de werkwijze. Het tijdstip vertelt wanneer de toegang is misbruikt, en het ontvangende adres is het beginpunt van het spoor. Wie een gestolen wallet wil traceren, leest dus eerst wat de eigen transacties prijsgeven voordat hij verder kijkt.

Daarnaast laat de tokenstandaard zien om wat voor tegoeden het gaat en hoe ze zich gedragen. Een ERC-20-token beweegt anders dan ether zelf, en dat bepaalt mede hoe het spoor verder loopt. Door deze gegevens naast elkaar te leggen, ontstaat een eerste beeld: een eenmalige diefstal door een phishinggoedkeuring ziet er anders uit dan een wallet die volledig is overgenomen.

Hoe volg ik een crypto-adres na diefstal?

Een crypto-adres volgen begint bij het ontvangende adres uit uw twee transacties. Vanaf dat adres kijken wij naar de volgende verplaatsingen: blijven de tokens staan, worden ze opgesplitst over meerdere adressen, of gaan ze direct door naar een volgende bestemming? Elke stap staat openbaar op de blockchain en is dus controleerbaar. Door adres na adres te volgen, brengen wij de keten in kaart tot het punt waar de tegoeden bij een herkenbare partij belanden.

Dat eindpunt is belangrijker dan het lijkt. Komen de tokens uiteindelijk binnen bij een gereguleerde exchange of dienst, dan is er een partij met een naam, een vestiging en wettelijke verplichtingen. Op zo’n punt ontstaat een concreet aanknopingspunt voor politie of advocaat. Het volgen van een crypto-adres is daarmee geen doel op zich, maar de route naar een plek waar juridisch iets kan gebeuren.

Wat het volgen wel en niet kan

• Wat het wel kan: de route van de tokens zichtbaar maken, patronen herkennen en bepalen of het spoor naar een gereguleerde dienst leidt.
• Wat het lastiger maakt: mixers, bruggen tussen blockchains en snelle doorvoer via talloze adressen vertroebelen het beeld.

Een gestolen wallet traceren: stap voor stap

Het traceren van een gestolen wallet verloopt gestructureerd. Eerst leggen wij de twee transacties vast: de hashes, het ontvangende adres en het tijdstip. Daarna reconstrueren wij vanaf dat adres de geldstroom, transactie voor transactie. Vervolgens herkennen wij patronen, zoals het opsplitsen van bedragen of het gebruik van tussenadressen die vaker bij eenzelfde werkwijze opduiken. Ten slotte bepalen wij waar het spoor eindigt en of dat eindpunt een aanknopingspunt biedt.

In de casus van de gehackte MetaMask-wallet betekent dit dat wij niet bij het lege saldo blijven hangen, maar juist de beweging erna in kaart brengen. Zo wordt zichtbaar of de tokens stilstaan, doorstromen of bij een dienst binnenkomen waar verdere stappen mogelijk zijn. Meer over onze werkwijze leest u op de pagina over blockchainonderzoek.

Wat moet ik bewaren voor een wallet-onderzoek?

Een onderzoek is zo sterk als de gegevens waarmee het begint. Bewaar daarom alles rond de hack: de twee transactiehashes, het ontvangende adres, de exacte tijdstippen en eventuele goedkeuringen die u in MetaMask terugziet. Wis geen wallets, apps of accounts, hoe verleidelijk dat ook is. Bewaar ook de aanleiding: de link waarop u klikte, de website waar u uw gegevens invulde of het bericht dat u ontving. Wat voor u rommel lijkt, is voor een wallet-onderzoek vaak het ontbrekende puzzelstuk.

Snelheid helpt, zeker in de eerste uren na een diefstal, maar het is geen voorwaarde voor resultaat. Ook later valt er vaak nog veel in kaart te brengen, omdat het spoor op de blockchain blijft staan en niet verdwijnt. Hoe eerder u aan de bel trekt, hoe completer het beeld bij de start, en dat vergroot simpelweg de kans dat het patroon achter de diefstal zichtbaar wordt. Komt u pas na verloop van tijd in actie? Dan is dat zeker geen reden om het op te geven, het onderzoek begint dan gewoon vanaf het punt waar u nu staat.

Wat als ik zelf nog deels toegang tot een wallet heb?

Soms gaat het niet om een volledige overname, maar bent u zelf de toegang tot een eigen wallet deels kwijt: een vergeten wachtwoord, een onvolledige back-up of een gedeeltelijk bekende sleutel. Mits de toegangscodes deels aanwezig zijn, onderzoeken wij of walletherstel tot de mogelijkheden behoort. Dat is iets heel anders dan de claim dat wij andermans wallet kunnen openen. Wie zoekt naar betrouwbare crypto recovery doet er verstandig aan dit onderscheid scherp te houden: een betrouwbare partij vraagt nooit om uw volledige seed phrase of privesleutels, herstel kan alleen op een wallet waarvan u zelf de rechthebbende bent, en een garantie vooraf is een waarschuwingssignaal.

Wat een wallet-onderzoek door Paucitas oplevert

Als expertisebureau voor blockchainonderzoek brengen wij het spoor van een gehackte wallet onafhankelijk in kaart. Wij reconstrueren de route vanaf het ontvangende adres, transactie voor transactie, tot het punt waar de tegoeden bij een herkenbare partij belanden. Daarnaast leggen wij het patroon achter de diefstal vast: de werkwijze die uit uw transacties spreekt, of het nu om een phishinggoedkeuring, een nep-website of een overgenomen wallet gaat. Het resultaat is een rapport dat bruikbaar is richting politie, een advocaat of een exchange.

Dat rapport heeft een dubbele functie. Het geeft u rust en overzicht in een situatie die chaotisch aanvoelt, en het vormt de feitelijke basis voor iedere vervolgstap. Wij adviseren niet fiscaal of juridisch en doen geen beloften over de afloop. Wat wij doen, is onderbouwen, verifieren, in kaart brengen en onafhankelijk toetsen, zodat u op feiten kunt handelen in plaats van op hoop.

Rustig een eerste stap zetten

Is uw wallet gehackt en vraagt u zich af wat uw transacties nog verraden? Een korte, vrijblijvende intake geeft duidelijkheid. Daarin bespreken wij wat er is gebeurd, welke gegevens u nog heeft en of het spoor zich leent voor een wallet-onderzoek. Daarna weet u waar u staat, zonder dat u zich tot iets verplicht. De gratis intake is bedoeld om met u mee te denken, niet om u iets aan te praten. Omdat snelheid in de eerste uren cruciaal is, zijn wij 24/7 bereikbaar.

Is uw wallet leeggehaald? Bekijk onze dienstpagina over gestolen crypto traceren voor de vervolgstappen en hoe wij het spoor van de gestolen tokens vastleggen.