Liquid-hack van $320 miljoen zet identiteit centraal
De Liquid Network-hack en recente lekken bij Trezor en andere partijen onderstrepen dat KYC-data vaak moeilijker te herstellen is dan gestolen bitcoin.
Korte samenvatting
- De Liquid Network verloor op 7 september ongeveer $320 miljoen in één exploit.
- Evin McMullen stelt dat gestolen bitcoin soms nog kan worden gevolgd, maar gelekte identiteitsgegevens nauwelijks te herstellen zijn.
- Hij waarschuwt dat crypto-bedrijven te veel persoonlijke data opslaan, terwijl AI-agents het risico op nieuwe datalekken vergroten.
De hack van ongeveer $320 miljoen (€277 miljoen) op de Liquid Network zet volgens Evin McMullen niet alleen de beveiliging van crypto centraal, maar vooral het verschil tussen terug te draaien onchain-diefstal en blijvende identiteitschade. De CEO en medeoprichter van Billions stelt dat gestolen bitcoin soms nog kan worden gevolgd of teruggegeven, terwijl gelekte namen, adressen en ID-nummers veel moeilijker te herstellen zijn.
Liquid-hack en datalekken
Op 7 september verloor een blockchain die bitcoin tussen exchanges verplaatst ongeveer $320 miljoen in één exploit. Volgens de context rond het incident gaat het om de Liquid Network, een Bitcoin sidechain van Blockstream. De aanvallers zouden zich hebben gepresenteerd als zogenaamde white-hat hackers en zelfs een bericht in een Bitcoin-transactie hebben achtergelaten waarin zij Liquid opriepen een specifieke kwetsbaarheid aan te pakken.
Tegelijkertijd liet Trezor weten dat nog eens 67.000 klanten te maken kregen met een lek van namen, telefoonnummers en thuisadressen via een verzendpartner. In een apart incident kwamen ongeveer 200.000 records op straat te liggen, met overheids-ID-nummers naast geverifieerde walletadressen. McMullen wijst er ook op dat adresgegevens die in 2020 bij een hardware wallet-maker zijn buitgemaakt, jaren later nog steeds per post worden misbruikt in bitcoin-oplichtingsbrieven. Ook een groter datalek bij een broker laat zien hoe snel identiteitsgegevens en walletadressen samen een langdurig risico vormen.
Waarom identiteit zwaarder weegt
De kern van zijn betoog is dat crypto-bedrijven vaak meer identiteit verzamelen dan nodig is. Crypto exchanges, hardware wallet-makers en on-ramps vragen om documenten, adressen en andere gevoelige gegevens, waardoor ze een aantrekkelijk doelwit worden voor aanvallers. Volgens McMullen is dat een structureel probleem, omdat een geverifieerde eigenschap van een klant ook zonder het opslaan van een volledig identiteitsdossier kan worden bevestigd.
Hij zet daar een model tegenover waarin alleen wordt bewezen dat iemand bijvoorbeeld een echte, gesanctioneerde klant is, zonder dat een paspoort op een server blijft staan. Dat is volgens hem belangrijker nu steeds meer software namens mensen gaat handelen.
AI-agents vergroten het risico
McMullen waarschuwt dat de opkomst van AI-agents de druk op dit model verder kan vergroten. Als zulke agents straks namens mensen betalingen doen en daarbij telkens de volledige identiteit van hun eigenaar meeslepen, kunnen er volgens hem niet een paar, maar miljarden nieuwe honeypots ontstaan. Voor Europese crypto-lezers raakt dit aan een bredere discussie over privacy, KYC en de manier waarop exchanges en wallets gegevens opslaan.
Zijn slotpunt is scherp: de $320 miljoen (€277 miljoen) aan gestolen bitcoin kan mogelijk nog terugkomen, maar adressen, ID's en gezichten niet. Daarmee verschuift de discussie van alleen walletbeveiliging naar de vraag hoeveel persoonlijke data crypto-infrastructuur eigenlijk zou moeten vasthouden.
