Nep-airdrops herkennen: de checklist met waarschuwingssignalen

Als ik twijfel of iets echt is, ga ik nooit op mijn gevoel af. Dat is de ene zin die ik overhield nadat ik zelf een paar keer klem zat. Gevoel is namelijk het minst betrouwbare dat er is — hoe graag je die tokens wilt hebben, hoe meer je gevoel de kant op leunt van „het zal wel echt zijn". Dus in plaats van mezelf te vragen „ziet dit eruit als een echte airdrop?", stel ik een kilere vraag: raakt het de kenmerken die bij nep-airdrops steeds terugkomen? Dit stuk legt die kenmerken open en giet ze in een checklist die je punt voor punt kunt afgaan. Zie je er één kloppen, dan stop je even; kloppen er twee of meer, dan kun je het eigenlijk al laten.

Eerst iets rechtzetten: echte airdrops bestaan wel degelijk. Serieuze projecten verdelen tokens onder vroege, echte gebruikers op basis van on-chain-gedrag, en dat is een legale en gangbare manier van distributie (de basisbegrippen van tokens en contracten lees je bij de Ethereum Foundation in hun uitleg over de ERC-20-tokenstandaard). Juist omdat de echte bestaan, hebben de nep-varianten iets om zich achter te verstoppen. Deze checklist leert je dus niet om „elke airdrop als oplichterij te zien", maar om waakzaam te zijn op de plekken waar het telt. Elke sectie hieronder staat voor één waarschuwingssignaal; de laatste sectie laat zien hoe je die signalen stuk voor stuk wegneemt.

Snel overzicht: welke signalen je eerst telt

Hier eerst een overzichtstabel; de secties erna werken elk signaal uit. Je hoeft niet alles uit je hoofd te kennen — gebruik deze tabel als eerste filter zodra je een airdrop tegenkomt: klopt er een regel, lees dan de bijbehorende sectie en begrijp waarom die gevaarlijk is.

De kern van deze tabel bestaat eigenlijk uit maar twee dingen: ten eerste willen ze de controle over je wallet (seed phrase, goedkeuring, blind tekenen), ten tweede willen ze dat je eerst geld neerlegt (kosten, ontgrendelfee). Alle trucs draaien om deze twee. Onthoud dat, en welk nieuw jasje ze ook aantrekken, de kern blijft hetzelfde. Ik heb dit oordeel ook in een score-achtige waarschuwingscheck voor nep-airdrops gegoten, die je bij een concreet geval ernaast kunt leggen.

Ze vragen je seed phrase of private key

Dit is de regel die je meteen op het eerste gezicht moet afschieten, en de ondergrens onder alle ondergrenzen: elke pagina die je een seed phrase (de 12 of 24 woorden) of private key laat invoeren, is oplichting — hoe officieel het er ook uitziet, zonder uitzondering. Onthoud dit feit: je seed phrase is de volledige controle over je wallet. Wie hem heeft, kan alle bezittingen onder dat adres, op alle chains, rechtstreeks wegsluizen; zelfs het intrekken van goedkeuringen redt je dan niet meer, want hij is inmiddels de eigenaar van je wallet.

Een echt claim-proces vraagt nooit om je seed phrase. Je verbindt je wallet via de wallet-extensie zelf (je klikt op „verbinden" en bevestigt in de popup van de wallet); die app beheert de private key voor je, en die woordenreeks hoor je nooit met de hand in een webpagina, formulier, chatvenster of supportsysteem te typen. Oplichters verpakken het met van alles: „je bezit synchroniseren", „bevestigen dat jij de eigenaar bent", „claim-rechten herstellen", „migreren naar een nieuw contract" — het verhaal verandert steeds, maar wat ze willen blijft gelijk.

Even over bewaren: zodra je seed phrase in aanraking is geweest met een webpagina, screenshot, cloudnotitie of chatgeschiedenis, ga je ervan uit dat hij is gelekt en gebruik je die wallet niet meer voor waardevolle bezittingen. Deze regel is belangrijker dan welke technische bescherming ook, want het verlies dat erbij hoort is onherstelbaar — bij approval-phishing kun je in elk geval nog intrekken om schade te beperken, bij een gelekte seed phrase is het vaak in één keer gebeurd.

Eerst kosten betalen voordat je kunt claimen

De tweede veelvoorkomende truc: ze vertellen je dat „je airdrop al is binnengekomen, maar dat je eerst wat kosten / gas / een ontgrendelfee / borg moet betalen voordat je de tokens kunt opnemen", en geven je een ontvangstadres om geld naartoe te sturen. Dit is een klassieke vooruitbetalings-oplichting, de on-chain-versie van „eerst betalen, dan pas leveren".

Om dit te doorzien, moet je snappen hoe gas bij een echte claim werkt. Op een chain als Ethereum betaal je inderdaad gas voor elke transactie die je zelf initieert (ook de claim-transactie van een airdrop), maar die gas is bedoeld voor het netwerk en wordt automatisch door je wallet van je saldo afgeschreven in de basiscoin (zoals ETH) — het is geen „fee" die naar een adres van het project gaat. Met andere woorden: de kosten van een echte airdrop zijn gas die je eigen wallet afschrijft, nooit „eerst een bedrag naar een adres sturen". Wat gas precies is en aan wie het betaald wordt, lees je in de uitleg over gas en transactiekosten van de Ethereum Foundation, en in ons eigen wat is een gasfee.

De beoordeling is dus keihard: alles wat je vraagt om „eerst geld naar een adres over te maken voordat je kunt claimen", is nep. Bij een echte claim stroomt het geld altijd naar jou toe, en betaal je niet eerst een bedrag aan de tegenpartij. Een geliefd extra praatje van oplichters is: „je tokens zijn duizenden euro's waard, betaal maar even een paar tientjes aan kosten om ze te ontgrendelen" — met een enorm lokaas laten ze die kleine vooruitbetaling voordelig lijken. Juist dat is het gevaarlijke: hoe meer de rekensom klinkt als „klein geld voor groot geld", hoe waakzamer je moet zijn.

Onbekende tokens die opeens in je wallet staan

Op een dag open je je wallet en staat er ineens een token bij dat je nooit hebt aangevraagd, met een naam die klinkt als een „beloning" of „voucher" van een project en een prijs die niet mis lijkt. Verheug je nog niet — dit is met grote kans phishing-aas. Zulke tokens sturen oplichters massaal naar een grote reeks adressen (dat heet dust); iedereen kan ze ontvangen, en dat het in je wallet staat betekent niet dat het iets waard is, en al helemaal niet dat je „hebt gewonnen".

Het is een aashaakje. In de naam van het token, de eraan gekoppelde site of de contractbeschrijving staat: „claim / wissel / ontgrendel op site X". Zodra je die site opzoekt en je wallet verbindt, begint de echte approval-phishing pas. De regel is daarom heel simpel: tokens van onbekende herkomst, die je nooit hebt aangevraagd en die uit zichzelf opduiken, niet aanklikken, niet naar een aangewezen site gaan, en al helemaal niet proberen te verkopen. Alleen al het proberen te verkopen kan namelijk vragen om een goedkeuring aan een kwaadaardig contract.

Wat je veilig wél kunt doen, is de herkomst opzoeken zonder ermee te interacteren: neem het contractadres van het token en kijk op een block explorer (zoals Etherscan) wie het is, wanneer en naar hoeveel adressen het massaal is verstuurd. Snap je dat, dan verberg je het gewoon in je wallet. Alleen een token ontvangen en niet naar de aangewezen site gaan, veroorzaakt normaal geen schade; de schade ontstaat op het moment dat je je door dat token naar een goedkeuring laat leiden.

Nagemaakte domeinen en valse officiële sites

Deze is de fysieke ingang van alle phishing. Oplichters bouwen een pagina die vrijwel identiek is aan die van het echte project; het enige verraderlijke zit vaak in de adresbalk — het domein verschilt net een tikje van het echte. Veelgebruikte trucs zijn: een letter meer of minder, letters vervangen door gelijkende tekens (kleine l door cijfer 1, o door 0, of speciale tekens die er hetzelfde uitzien), een andere extensie (.io wordt .org, .xyz of .app), of de projectnaam als subdomein voor een onbekend hoofddomein plakken. In een oogopslag zijn die bijna niet te zien, maar letter voor letter nakijken haalt ze naar boven.

Nog verraderlijker is vergiftiging via zoekadvertenties: je zoekt op de projectnaam en de allereerste „advertentie" bovenaan kan een valse officiële site zijn die de oplichter heeft ingekocht — je denkt dat je op de echte site klikt, maar zit vanaf de ingang al fout. Twee gewoontes zijn de moeite waard: ten eerste, ga bij crypto-projecten nooit via een advertentielink bovenaan de zoekresultaten naar binnen; ten tweede, sla de officiële sites en tools die je vaak gebruikt op als bladwijzer en ga er elke keer via die bladwijzer in. De officiële site kruislings bevestigen via betrouwbare bronnen (het officiële social-media-account, de officiële documentatie, bekende aggregators) is veel betrouwbaarder dan op je geheugen en een zoekopdracht vertrouwen. Hoe je bevestigt of een site echt officieel is, werken we uit in officiële kanalen herkennen.

Bij het nakijken van het domein hoort nog een tweede handeling: het contractadres controleren waarmee je gaat interacteren. Ook als het domein klopt, kan het „claim-contract" op de pagina zijn vervangen door het adres van de oplichter. Voordat je echt interacteert, neem je dat adres dus mee naar een block explorer om het te verifiëren, of je gebruikt de approval-risicocheck om na te lopen wat je precies goedkeurt.

Ongevraagde privéberichten en valse support

Je stelt een vraag in de officiële groep, de Twitter-comments of de Discord van een project, en binnen een paar minuten stuurt een „supportmedewerker", „helper" of „beheerder" je een privébericht — enthousiast, uit zichzelf, om je „aanspraak te controleren", „een mislukte claim op te lossen" of „een vastgelopen transactie af te handelen" — en stuurt je vervolgens een link, of vraagt je je wallet te verbinden of even te tekenen. Dit is haast een sjabloon, en je herkent het aan één regel: een serieus project benadert je vrijwel nooit uit zichzelf per privébericht, en echte support laat je via een privéchat nooit je wallet verbinden, tekenen of een seed phrase geven.

Oplichters richten zich op mensen die in publieke kanalen vragen stellen, klagen of om hulp roepen, want die zitten precies in de toestand „ik heb een probleem, wil het oplossen en ben ontvankelijk voor advies". De identiteit die ze aannemen is zorgvuldig verpakt: avatar en bijnaam lijken sterk op het officiële account, in het profiel staat „official support", en soms bouwen ze een namaak-„officiële supportgroep" met schijnbaar veel leden waar ze je in trekken. Maar hoe echt de verpakking ook is, het feit dat ze uit zichzelf een privébericht sturen, is op zich al het grootste waarschuwingssignaal.

Deze social-engineering-trucs komen vaak samen met de eerder genoemde valse officiële sites en nagemaakte claim-pagina's — het privébericht is alleen de doorgang die je erheen leidt. Combineer de ingangsbeoordeling uit nep-airdrops en approval-phishing met deze regel voor een beter resultaat.

Een aftelklok die haast opwekt

Bijna elke valse claim-pagina hangt er een aftelklok bij: „nog 2 uur", „nog 13 plaatsen", „snapshot bijna voorbij, gemist is niet meer aangevuld". Dat is geen toeval, dat is ontwerp. Het enige doel van die haast is je geen tijd te gunnen om na te kijken — zodra je in de stand „te traag betekent gemist" schiet, negeer je zelf precies de signalen die je hadden moeten laten stoppen.

De aanpak is simpel, maar vraagt bewuste oefening: behandel de haast zelf als een los, verdacht signaal. De logica is deze — een echte airdrop heeft doorgaans een claim-venster van dagen of zelfs weken, en een project heeft geen reden om je binnen enkele minuten een handeling te laten doen die je wallet-veiligheid raakt; omgekeerd geldt: hoe preciezer het aftelt tot op de minuut en hoe harder het je opjaagt om „nu meteen te tekenen", hoe groter de kans dat er iets mis is. Zie je een aftelklok, dan is de juiste reactie niet versnellen maar vertragen: stop eerst dertig seconden en loop de signalen in dit stuk nog eens langs. Een echte airdrop missen is hooguit jammer; op een valse klikken is echt geld kwijt — die rekensom is niet moeilijk.

Als ik terugkijk op de keren dat ik zelf klem zat, zat er bijna altijd een aftelklok die me opjoeg. Later dwong ik mezelf om bij „beperkte tijd" eerst de pagina te verlaten en het via officiële kanalen na te lopen — daarmee werd de nep-variant meestal al in die ene stap eruit gefilterd.

Blind tekenen na het verbinden van je wallet

De vorige signalen kun je meestal al tegenhouden vóór je op een link klikt. Dit is de laatste en meteen de belangrijkste poort: het moment dat de wallet-popup verschijnt. Veel nep-airdrops maken de eerste stappen juist heel netjes, alleen om je hierheen te leiden en je in de opwinding van „ik heb het bijna" achteloos op bevestigen te laten drukken. Deze popup begrijpen is de kernvaardigheid tegen nep-airdrops.

Het beslissende punt is: bij het claimen van een airdrop hoort de richting te zijn dat er tokens naar jou stromen, niet dat jij het recht om je bezit te gebruiken weggeeft. Bij een echte claim initieer je meestal een claim-transactie, betaal je zelf gas en stuurt het contract de tokens naar jou. Vraagt het „claimen" om een van de onderstaande dingen, dan is dat een gevaarsignaal:

• approve / goedkeuringslimiet (ERC-20). Je keurt goed hoeveel van een bepaald token een contract van je saldo mag wegsluizen. Wat de oplichter wil, is die limiet op oneindig zetten en toewijzen aan een adres dat hij beheert, zodat hij daarna zonder het je nog te vragen herhaaldelijk je tokens kan weghalen.
• setApprovalForAll / volledige goedkeuring (NFT). Met één handtekening geef je de volledige zeggenschap over een hele NFT-collectie weg. Valse „gratis mints" gebruiken dit het liefst.
• permit (offline handtekening-goedkeuring). Kost geen gas en de popup lijkt op een gewone login-handtekening, maar wat je tekent is in werkelijkheid een machtiging: met die handtekening kan de tegenpartij je tokens on-chain in beweging zetten. Verraderlijker dan approve, omdat het de psychologische drempel van „gas betalen en een tweede bevestiging" omzeilt.
• Een onleesbare ruwe handtekening (blind tekenen). Meldt de wallet „kan niet worden ontleed", „ruwe gegevens" of „handtekeninginhoud kan niet worden getoond", dan teken je iets waarvan de betekenis niet zichtbaar is — in theorie kan dat elke handeling zijn.

De techniek achter goedkeuringen en handtekeningen leggen we uitgebreider uit in nep-airdrops en approval-phishing, en de risico's van de verschillende handtekeningtypes staan apart in handtekening-risico's. Hier een simpel veiligheidscriterium: alleen tekenen als je wallet je in gewone taal duidelijk vertelt „je machtigt contract X om je token Y te bewegen", en dat precies is wat je wilt; is de inhoud vaag of klopt hij niet met wat je dacht te doen, dan weiger je. Wallets zoals MetaMask tonen bij risicovolle handtekeningen (zeker bij blind tekenen) een duidelijke waarschuwing — negeer een rode waarschuwing niet. De officiële uitleg over de verschillende handtekeningmethodes staat in het MetaMask-supportcentrum.

Hoe je alles punt voor punt narekent

De signalen zijn benoemd; tot slot hoe je ze omzet in een reeks uitvoerbare controlestappen. Dit is de route die ik zelf elke keer volg bij een „airdrop-kans", en de volgorde doet ertoe: eerst de identiteit controleren, dan de handeling bekijken, en pas daarna beslissen of je iets aanraakt.

In deze route is stap 3 de waterscheiding. Mijn ervaring is: zodra je „claimen wil ineens een goedkeuring / handtekening" behandelt als rood in plaats van groen, daalt de trefkans van nep-airdrops sterk. Voeg daar stap 5 aan toe (gas schrijft je wallet af naar het netwerk, het is niet dat jij geld naar de tegenpartij overmaakt), en ook vooruitbetalings-oplichting komt er nauwelijks nog in. Deze twee tot een reflex maken werkt beter dan welk afzonderlijk phishing-domein onthouden ook, want domeinen wisselen dagelijks, terwijl de structuur van de trucs zelden verandert.

Nog iets over meerdere wallets: veel mensen openen een hoop bijaccounts om airdrops te farmen, wat op zich al sybil-risico met zich meebrengt (het project kan het als valsspelen bestempelen en je aanspraak schrappen) en het beheer van goedkeuringen bemoeilijkt. Gebruik je meerdere wallets, houd dan je hoofdwallet en de „proefwallets" die overal verbinden strikt gescheiden en meng ze niet — dit en andere fouten die beginners vaak maken, bespreken we samen in de 10 grootste fouten.

Om deze handelingen tot tools te maken, hebben we twee checks gebouwd die je direct kunt gebruiken en die je bij een airdrop naast deze checklist legt: de waarschuwingscheck voor nep-airdrops helpt je op bron, domein en gevraagde handeling punt voor punt te scoren om snel te bepalen hoe echt het lijkt; de approval-risicocheck helpt je nagaan onder welk type de goedkeuring valt die je op het punt staat te tekenen, en waar de risicopunten zitten. Voor externe tools: voor het controleren en intrekken van goedkeuringen houd je revoke.cash en de Etherscan Token Approval Checker aan; wil je de onderliggende begrippen echt stevig krijgen, dan is de site van de Ethereum Foundation de gratis kennisbank die je tijd het meest waard is.

Tot slot. De trucs van nep-airdrops veranderen elk jaar, maar het skelet bestaat uit twee botten: je moet de controle over je wallet afgeven, of je moet eerst geld neerleggen. Elk waarschuwingssignaal in dit stuk wijst uiteindelijk naar een van die twee. Twijfel je, vraag dan niet „lijkt het echt?", maar „raakt het deze signalen?" — verruil je oordeel van gevoel voor een checklist, en je bent de overgrote meerderheid van de on-chain-oplichting op particulieren al ontweken.