Bitcoin-transacties lekken meer dan je denkt
KU Leuven zag dat veel browser-wallets al vóór een on-chain transactie adresgegevens lekken. Via KYC en blockchain-analyse kunnen tegenpartijen en treasurybewegingen alsnog zichtbaar worden.
Korte samenvatting
- Bitcoin-betalingen kunnen meer prijsgeven dan alleen het factuurbedrag, zoals treasurybewegingen en zakelijke relaties.
- KU Leuven vond dat veel browser-extensiewallets adressen, walletkeuzes en verbanden tussen adressen konden lekken.
- Via blockchain-analyse en KYC-koppelingen kunnen zichtbare Bitcoin-adressen vaak aan echte identiteiten worden verbonden.
Bitcoin-betalingen lijken voor bedrijven vaak handig en snel, maar ze kunnen veel meer prijsgeven dan alleen het bedrag op de factuur. Een hergebruikte wallet, een zichtbare tegenpartij of een koppeling via een crypto exchange kan al genoeg zijn om treasurybewegingen en zakelijke relaties bloot te leggen.
Wallets lekken al vóór verzending
Onderzoekers van KU Leuven testten in juli 2026 85 populaire browser-extensiewallets en zagen dat de wallets zelf al informatie konden lekken. Om een saldo te tonen, sturen zulke wallets vaak een verzoek naar een externe server, waarbij het adres in de clear wordt meegestuurd. In de studie gold dat voor 36 wallets, goed voor ongeveer 82% van de onderzochte installaties.
Dat is relevant voor iedereen die denkt dat privacy pas een probleem wordt zodra een transactie op de blockchain staat. In 17 wallets konden websites ook verbanden leggen tussen verschillende adressen van dezelfde gebruiker. Bij 22 van de 36 getroffen wallets bleef een adres zelfs zichtbaar nadat toegang was ingetrokken en de browser opnieuw was gestart.
De onderzoekers zagen daarnaast dat websites soms konden zien welke wallet-extensies iemand had geïnstalleerd, ook zonder dat die persoon een wallet koppelde. Van de 36 getroffen wallets konden er 23 bovendien een adres lekken via content van een andere website, zonder dat de gebruiker iets aanklikte.
Van adres naar identiteit
Zodra een adres zichtbaar is, kan blockchain-analyse de rest van het werk doen. Analisten zoeken naar patronen die laten zien dat meerdere adressen bij dezelfde persoon of organisatie horen. Bitcoin is daarbij pseudoniem, niet anoniem: adressen zeggen niet direct wie iemand is, maar kunnen wel worden gekoppeld aan een echte identiteit via KYC bij exchanges of via openbare adressen op websites en sociale kanalen.
KU Leuven vond ook dat 17 wallets, samen goed voor ongeveer 23 miljoen installaties, links tussen verschillende adressen konden blootleggen. Dat maakt het voor een buitenstaander makkelijker om een groter betalingspatroon te reconstrueren dan veel gebruikers verwachten. Voor bedrijven kan één betaling aan een leverancier zo eerdere betalingen, treasurybewegingen en andere tegenpartijen zichtbaar maken.
Ook privacy coins veranderen dat beeld maar deels. Monero en Zcash maken tracing lastiger, maar de meeste zakelijke Bitcoin-betalingen lopen nog steeds via een openbaar register waarin elke stap zichtbaar blijft. Tegelijk staan privacygerichte technieken zoals PayJoin en het Lightning Network onder druk van steeds slimmere surveillance-tools.
Waarom dit voor Europa telt
Voor Europese crypto-gebruikers en bedrijven is dit meer dan een technisch detail. Wie met Bitcoin werkt, kan onbedoeld gevoelige informatie prijsgeven aan concurrenten, handelspartners of onderzoekers die een betalingsspoor volgen. Dat maakt wallet-keuze, adresbeheer en de manier waarop een betaling wordt verstuurd belangrijker dan veel gebruikers denken.
De kwestie raakt ook aan compliance. Reguleerde exchanges koppelen adressen aan klantgegevens via KYC, waardoor een zichtbaar adres soms genoeg is om een groter netwerk van transacties te ontrafelen. Voor bedrijven die met crypto betalen, blijft de kern daarom eenvoudig: een Bitcoin-transactie is vaak minder privé dan ze op het eerste gezicht lijkt.
Eerder zorgde het verplaatsen van oude Bitcoin-wallets al voor extra aandacht voor hoe lastig het is om adressen en eigenaarschap los van elkaar te zien.
