De schaduwzijde van cryptovaluta: er is al voor 15 miljard euro opgelicht en gestolen

Sinds 2011 is er wereldwijd voor meer dan 15 miljard euro aan cryptovaluta zoals bitcoin gestolen of buitgemaakt in oplichtingszaken die te maken hebben met cryptovaluta. Dat blijkt uit een analyse van mediaberichten en juridische documenten over oplichting en fraude met deze digitale middelen.

Neem OneCoin, een nepcryptovaluta. In maart 2019 maakte het Amerikaanse Openbaar Ministerie bekend de eigenaren ervan te vervolgen: die zouden wereldwijd voor 3,6 miljard euro aan nepcrypto’s hebben verkocht.^*

Ook worden cryptobeurzen, waar je valuta als bitcoin kunt verhandelen, geregeld gehackt. Daarbij gaan vaak tientallen en soms honderden miljoenen verloren. Die hackers worden zelden gepakt, al maakten de Verenigde Naties in augustus bekend dat Noord-Korea enkele Zuid-Koreaanse cryptobeurzen heeft gehackt. Met de opbrengsten zou onder andere het Noord-Koreaanse atoomwapenprogramma worden gefinancierd.^*

De afgelopen weken lieten we zien hoe de laatste jaren veel geld in cryptovaluta is belegd en dat er veel speculanten actief zijn die voor de snelle winst hopen te gaan. Deze gold rush trekt een hoop mensen aan met ronduit slechte bedoelingen. Hacks en oplichting in cryptoland zijn zelden groot nieuws, maar er gaat vaak veel geld mee verloren. Daarom heb ik de grootste hacks en oplichtingen vanaf 2011 op een rij gezet en de schade ervan opgeteld.

Bij deze berekening moet wel een aantal kanttekeningen worden geplaatst:

• Ik heb alleen gekeken naar hacks en oplichtingen met een vermoedelijke schade van meer dan een miljoen euro.
• De omvang van de schade is nooit precies bekend. Dit zijn bedragen die uiteindelijk in de media zijn gekomen. Ik heb geprobeerd de actueelste gegevens te vinden en te gebruiken. In veel gevallen werden cryptovaluta zoals bitcoin gestolen. De schade is dan de dagwaarde in euro op het moment dat de valuta werden gestolen.
• Het jaartal is het moment waarop de hack of fraude aan het licht kwam. De OneCoin-oplichting heeft jaren geduurd, maar is pas eind 2018 onderwerp geworden van grootschalig strafrechtelijk onderzoek.
• Een aantal fraudezaken heeft feitelijk niets met cryptovaluta te maken. OneCoin, daarover zo meer, was geen cryptovaluta, maar werd wel als zodanig gepresenteerd en verkocht. Daarom staat die toch in de lijst.

Dit zijn de zeventig grootste hacks en fraudezaken in de cryptowereld.

Al deze hacks en oplichtingen zijn op verschillende manieren uitgevoerd. Hieronder zet ik een aantal methoden op een rij, met doorverwijzingen naar goede verhalen voor wie zich wil verdiepen.

1. De exit scam: QuadrigaCX

Een gewiekste ondernemer start een online beurs waar je cryptovaluta kunt verhandelen, neemt het geld van klanten in beheer en sluit op een goede dag gewoon de tent en gaat er met het geld vandoor. Het bizarste voorbeeld hiervan is QuadrigaCX.

Deze Canadese cryptobeurs werd in 2013 opgericht door Gerald Cotten en een zakenpartner. Binnen een paar jaar tijd groeide QuadrigaCX uit tot de grootste cryptobeurs van het land. In 2017, toen bitcoin enorm aan populariteit won, stroomde er bijna twee miljard euro door dit bedrijf.

Het ging hierna echter snel mis. Cotten bleek het geld van klanten niet in bitcoin te investeren, maar zelf in te pikken. Hij kocht een duur jacht, een paar grote huizen, een privévliegtuig en liet het allemaal breed hangen. Ondertussen kwam QuadrigaCX in financiële problemen.

In december 2018 maakte Cotten met zijn vrouw een huwelijksreis in India. Daar liep hij, volgens zijn vrouw, een voedselvergiftiging op en stierf kort daarna in een privaat ziekenhuis. Zijn lichaam is nooit onderzocht en het is ook onbekend waar het is gebleven.

Ruim 160 miljoen euro van klanten leek in rook op te zijn gegaan

Nadien bleek, aldus de vrouw, dat Cotten de enige was die de wachtwoorden had van alle systemen van QuadrigaCX. Die wachtwoorden had hij nergens opgeschreven en gingen dus verloren met zijn ‘dood’. Zonder die wachtwoorden kon het geld van klanten niet verplaatst worden. Ruim 160 miljoen euro van klanten leek in rook op te zijn gegaan.

Er is op dit moment niet met zekerheid te zeggen of Cotten dood is of niet, maar onderzoek door forensisch accountants heeft uitgewezen dat QuadrigaCX ordinaire oplichting was en dat hier vermoedelijk sprake is van een exit scam.

2. Een nieuwe coin lanceren (ICO)

Als je een cryptovaluta wilt lanceren, kun je een ICO doen, oftewel: een Initial Coin Offering. Je biedt dan in een heel vroeg stadium je nieuwe digitale munt voor gereduceerd tarief aan. Met het geld dat je daarmee ophaalt, kun je de kosten dekken voor de verdere ontwikkeling van je cryptovaluta. Een ICO is dus een manier om kapitaal te verwerven.

Er zijn duizenden van dit soort ICO’s geweest, vooral sinds 2017, toen veel mensen door de hoge koers van bitcoin snel geld dachten te verdienen met cryptovaluta. Stripclubs, goksites, pornoboeren, wiettelers, gamemakers, vastgoedondernemers, fruittelers en talloze bedrijfjes gingen ineens cryptovaluta uitgeven.

Die hausse trok ook veel kwaadwillenden aan: oplichters die, net als bij een beursgang, snel een site in elkaar draaiden, een ‘white paper’ publiceerden, mooie beloften rondtoeterden op sociale media om vervolgens met het geld van investeerders te vertrekken. Ziedaar, de ICO-scam. Rond 2017-2018 zou 80 procent van alle ICO’s oplichting zijn, al verwijzen alle media naar dezelfde bron, waar ik mijn handen niet voor in het vuur wil steken.^*

3. Multilevel marketing

Een jaar of vier geleden lanceerde de Bulgaarse ondernemer Ruja Ignatova een nieuwe cryptomunt die bitcoin en alle andere cryptovaluta overbodig zou moeten maken: de OneCoin. Het was een munt waarmee je online spullen kon kopen, maar die je vooral moest aanschaffen als je stinkend rijk wilde worden: de munt, zo was haar belofte, zou namelijk enorm in waarde stijgen.

Er bleek echter weinig ‘crypto’ te zijn aan deze munt. Er was namelijk geen blockchain, de onderliggende technologie van cryptovaluta. Er was ook niet echt een markt, want OneCoin bleek boven alles een vorm van ‘multilevel marketing te zijn’, een soort piramidespel.

Bestaande klanten werven hierbij nieuwe klanten en strijken daarvoor een commissie op. Werven die nieuwe klanten weer nieuwe klanten, dan stapelen de commissies zich op. Zit je boven in de piramide, dan word je inderdaad stinkend rijk. Zit je echter laag in de pikorde, dan heb je een probleem.

OneCoin was, bezien vanuit het bedrijf, een enorm succes. Over de hele wereld schaften miljoenen mensen deze munten aan en overtuigden ze vrienden en familie hetzelfde te doen. Hoewel er al jaren sterke aanwijzingen waren dat Ignatova en haar compagnons de boel flesten, kon het bedrijf ongestoord opereren. Toen de grond onder de voeten in Europa en Amerika te heet werd, verplaatste de werving zich vooral naar Afrika en Azië.

Toen de grond onder de voeten in Europa en Amerika te heet werd, verplaatste de werving zich vooral naar Afrika en Azië

In 2017 verdween Ignatova opeens van het toneel. Enkele andere compagnons werden wel opgepakt en sommigen zijn inmiddels veroordeeld in de Verenigde Staten wegens oplichting. De Amerikaanse autoriteiten schatten dat OneCoin uiteindelijk zo’n 3,6 miljard euro uit de zakken van goedgelovige beleggers heeft geklopt. OneCoin is daarmee een van de grootste fraudezaken ooit.

De BBC bracht in november een korte podcastserie uit over OneCoin. Journalist Jamie Bartlett probeert hierin Ruja Ignatova te vinden, maar stuit vooral op een spoor van vernieling en ellende. Hoewel de serie wat aan de lange kant is, is-ie zeker de moeite waard om te beluisteren. Het schokkendste is wellicht de verbetenheid waarmee slachtoffers weigeren te geloven dat ze beetgenomen zijn – terwijl ze soms alles wat ze hadden zijn kwijtgeraakt.

4. 'Gewone' criminaliteit

IJsland is populair bij bitcoin-ondernemers. Het heeft een hoogopgeleide bevolking die overwegend positief staat ten opzichte van technologische vernieuwing, heeft ondanks de locatie een snelle internetverbinding, heeft weinig criminaliteit, maar wel spotgoedkope energie en kou in overvloed.

Vooral die laatste twee zijn handig als je bitcoins wil minen. Dat vreet immers energie en verhit computers die continu gekoeld moeten worden. Niet voor niets staan er op het eiland in grote loodsen rijen servers dag in, dag uit bitcoins uit te poepen. Die loodsen werden, althans tot voor kort, nauwelijks bewaakt, omdat er toch zo weinig criminaliteit op het eiland is.

Een paar gehaaide criminelen wist daar wel raad mee. Ze ronselden een paar lokale zware jongens die methodisch tientallen servers begonnen te stelen om daarmee hun eigen mining-operatie op te zetten. In dit vermakelijke stuk in Vanity Fair lezen we hoe ze te werk gingen. Het zou zomaar een seizoen van Fargo kunnen zijn, al was het verloop van de criminele operatie niet zo bloederig.

5. Afpersing door de geheime dienst

Eind 2018 stortte de grootste Russische cryptobeurs WEX in elkaar. Op dit platform, waar klanten bitcoin en andere cryptovaluta konden kopen en verkopen, werd dagelijks voor ruim 70 miljoen euro verhandeld.

Dat klanten deze beurs vertrouwden, was een klein wonder. WEX was namelijk de opvolger van een beruchte cryptobeurs die eind 2017 door de Amerikaanse autoriteiten offline werd gehaald: BTC-e. Via BTC-e zou crimineel geld worden witgewassen.

WEX floreerde, maar kreeg al snel te maken met een zakenman die ook voor de geheime dienst FSB bleek te werken. De eigenaar van WEX werd meermaals door hem onder zware druk gezet om klantgegevens en wachtwoorden af te staan.

Na te zijn vastgehouden op een kantoor van de geheime dienst, gaf de eigenaar toe en overhandigde de toegangscodes tot het geld. Op dat moment beheerde WEX zo’n 400 miljoen euro aan cryptovaluta van klanten.

6. Iemands simkaart toe-eigenen

Nicholas Truglia is een jonge oplichter die diep in de problemen zit. In 2018 wist hij het telefoonnummer van een rijke crypto-investeerder te kapen door een zogenoemde SIM swap. Hij nam contact op met de telefoonprovider van de investeerder en overtuigde een helpdeskmedewerker ervan dat zijn simkaart verloren was en het nummer op een andere kaart overgezet moest worden.

Met het nummer kon Truglia zich vervolgens voordoen als de investeerder en hem zo uiteindelijk 22 miljoen euro aan cryptovaluta afhandig maken.

Het was niet de eerste keer dat Truglia cryptovaluta stal en mensen oplichtte: hij heeft een heel spoor nagelaten. Eind 2018 liep hij tegen de lamp in een andere zaak. Nu wordt hij aangeklaagd door de investeerder en moet hij mogelijk die 24 miljoen terugbetalen. Daarnaast heeft de investeerder ook zijn telecomprovider voor 180 miljoen euro aangeklaagd.

7. Slordigheid

Lang was ‘Mt.Gox’ de hack der hacks. In maart 2014 was Mt.Gox de grootste cryptobeurs van de wereld en stortte die donderend in elkaar nadat een hacker er met 420 miljoen euro vandoor was gegaan. Het was de eerste echt grote hack in cryptoland en lange tijd de kostbaarste.

De uiteindelijke schuld ligt natuurlijk bij de hacker, maar al snel bleek dat er van alles mis was met het bedrijf dat in Japan was gevestigd, maar gerund werd door een nogal lakse Fransman, die vooral bezig leek met hoe hij zijn cryptomiljoenen zo exorbitant mogelijk kon uitgeven.

De hack opende velen de ogen: de wereld van crypto bleek een onvervalst Wild Westen. Niemand kon toen nog bevroeden dat de echt grote criminele klappers nog moesten komen.

8. Diefstal door Noord-Korea

In augustus van dit jaar kwamen Associated Press en Reuters^* met opmerkelijk nieuws: experts van de Verenigde Naties beschuldigden Noord-Korea van het hacken van financiële instellingen en cryptobeurzen. In totaal zou het land voor bijna twee miljard euro bij elkaar hebben gestolen. Dit geld zou gebruikt worden om sancties te omzeilen en het atoomwapenprogramma te financieren.

In totaal zou Noord-Korea voor bijna twee miljard hebben gestolen

Volgens cybersecuritybedrijf FireEye hadden hackers het vooral in 2017 op cryptobeurzen voorzien en de slachtoffers waren vooral gevestigd in Zuid-Korea. ^* Bij deze beurzen werden voor tientallen miljoenen aan bitcoin en andere cryptovaluta gestolen.