Officiële projectkanalen herkennen – de eerste stap tegen phishing
Eerst de echte officiële site vinden telt zwaarder dan wat ook. Die zin klinkt zo alledaags dat veel mensen hem overslaan — maar in de meeste gevallen die ik langs zag komen, zat de wortel niet bij „verkeerd getekend", maar een stap eerder: al vanaf het begin bij de verkeerde deur naar binnen. Zodra de ingang nep is, helpt alle voorzichtigheid daarna niets, want de hele pagina is gebouwd om je op te lichten. Andersom: alleen als je zeker weet dat je op de echte site staat en met de echte officiële kanalen te maken hebt, heeft het zin om de risico's van goedkeuringen en handtekeningen af te weren. De eerste stap tegen phishing is dus nooit „leren hoe je een wallet-popup leest", maar „leren bevestigen of ik nu wel of niet op officieel terrein sta".
Dit stuk gaat precies over die ene stap. Het is niet lang, maar elke sectie is een handeling die je direct kunt nadoen: hoe je kruislings verifieert of een officiële site echt is, hoe je valse officiële sites in zoekadvertenties omzeilt, hoe je social-media-verificatie leest en namaakaccounts eruit haalt, hoe je dit met een bladwijzer voorgoed oplost, en hoe je met een wallet-gewoonte je verlies aftopt zolang je nog niet zeker bent. Maak je van deze punten spiergeheugen, dan dicht je de grootste ingang van on-chain-phishing.
Dit artikel geeft geen enkel project een aanbeveling en voorspelt geen koersen. Het gaat hier om één ding: bevestigen of het kanaal waar je mee te maken hebt echt van het project is, zodat je namaakingangen vermijdt.
Waarom eerst het officiële controleren zwaarder telt dan wat ook
Pluk je phishing uit elkaar, dan is het eigenlijk een keten: de oplichter bouwt eerst een namaakingang (valse site, vals social-account, valse support), leidt je erin en laat je vervolgens iets goedkeuren of tekenen om ten slotte je wallet leeg te halen. In die keten is het eerste schakelpunt het goedkoopst om te blokkeren. Elk volgend schakelpunt vraagt namelijk dat je in een gespannen, informatiearme toestand een precies oordeel velt (een goedkeuringspopup doorgronden is lastig), terwijl het eerste schakelpunt alleen vraagt dat je rustig één vraag stelt: waar komt deze ingang vandaan, en is hij officieel? Het eerste is moeilijk, het tweede simpel. Je energie steken in het simpele deel levert het meeste op.
Er is nog een praktische reden: een namaakingang kost bijna niets. Een gelijkend domein registreren, een pagina klonen, een vals social-account maken — voor een oplichter is dat een kwestie van minuten, en daarom hangen er rond één project vaak tegelijk meerdere namaakingangen. Je kunt je niet beschermen met „onthouden hoe de echte site eruitziet", want de nep-versie is precies daarop gemaakt en met het blote oog nauwelijks te onderscheiden. Het enige dat wél onderscheid maakt, is of hun herkomst een kruiscontrole doorstaat. Daarom is het officiële verifiëren een aparte vaardigheid die het waard is om er tijd voor te nemen, en niet iets wat je „met één blik weet".
Plaats het even in de hele verdedigingslinie: officiële kanalen herkennen is stap één, de waarschuwingssignalen van nep-airdrops kennen is stap twee (zie de checklist met waarschuwingssignalen), goedkeuringen en handtekeningen doorgronden is stap drie (zie nep-airdrops en approval-phishing). Dit stuk richt zich op stap één; bewaak je die deur goed, dan wordt de druk op de twee volgende stappen een stuk kleiner.
De officiële site bevestigen: kruislings verifiëren, advertenties mijden
De kernmethode om een officiële site te bevestigen vat je in één woord: kruislings verifiëren. Vertrouw geen enkele link uit één losse bron, maar laat meerdere onderling onafhankelijke, betrouwbare kanalen naar hetzelfde domein wijzen — pas als ze samenvallen, geloof je het. Zo doe je dat concreet.
Kruislings verifiëren via betrouwbare aggregators
Veel gezaghebbende crypto-datasites vermelden op de projectpagina velden als „officiële website" en „officiële social media", en die velden zijn doorgaans in zekere mate geverifieerd. Je kunt ze als één pool van je kruiscontrole gebruiken. Zoek het project bijvoorbeeld op bij CoinGecko of CoinMarketCap en bekijk de officiële links die het opgeeft; heeft het project een contract, dan kun je op de token- of contractpagina van block explorer Etherscan de vermelde officiële website en social media zien (veel geverifieerde contracten hebben die erbij). Leg de officiële domeinen van deze twee, drie plekken naast elkaar: wijzen ze allemaal naar hetzelfde, dan is de betrouwbaarheid veel hoger; geeft één bron een domein dat elders niet klopt, dan zet je daar een vraagteken bij.
De kern van kruislings verifiëren is dat „de bronnen onderling onafhankelijk" zijn. Komen drie links eigenlijk allemaal uit dezelfde tweet, dan is dat gewoon één bron die drie keer opduikt — geen kruiscontrole. Alleen als aggregator, block explorer en het eigen kanaal van het project (die niet van elkaar afhangen) samenvallen, telt het.
Pas op voor valse officiële sites in advertenties
Een van de meest voorkomende manieren om erin te trappen, is de projectnaam rechtstreeks in een zoekmachine intypen en dan op de allereerste klikken. Het probleem is dat het bovenste vaak een advertentie is — en advertentieplekken kun je kopen: de oplichter koopt de advertentie van zijn valse site zodat die vóór de echte staat, en jij denkt dat je op nummer één (officieel) klikt maar belandt op de namaaksite. Maak er daarom een harde regel van: klik bij het zoeken naar crypto-projecten nooit op een link bovenaan met het label „advertentie" of „gesponsord". Wil je toch via de zoekresultaten binnenkomen, zoek dan lager naar de organische treffer en bevestig het domein na binnenkomst meteen opnieuw met de kruiscontrole hierboven.
Bij het nakijken van het domein ga je letter voor letter te werk, want het verraad van de oplichter zit in de details: een letter meer of minder, letters vervangen door gelijkende tekens (kleine l als 1, o als 0), een andere extensie (.io wordt .org / .xyz / .app), of de projectnaam als subdomein voor een onbekend hoofddomein plakken. In een oogopslag is dat moeilijk te zien, letter voor letter vergelijken haalt het naar boven. Naast het domein controleer je ook het contractadres waarmee de pagina je laat interacteren — zelfs als het domein klopt, kan het adres zijn verwisseld. Verifieer het vóór interactie in een block explorer. Deze detailsignalen zetten we vollediger op een rij in de checklist met waarschuwingssignalen.
Social-media-verificatie en namaakaccounts
Naast de website is het social-media-account de andere veelvuldig nagemaakte ingang, want een groot deel van de airdrop-informatie en claim-links komt uit de social media van het project. Een namaakaccount bootst avatar, bijnaam, profiel en postmanier sterk na, kopieert zelfs de oude posts, en is met het blote oog moeilijk te onderscheiden. Ga bij je oordeel niet af op „lijkt het?", maar op deze hardere signalen.
- Klopt het verificatie-badge met de accountgegevens? Een badge is slechts een aanwijzing, geen vrijbrief (op sommige platforms is verificatie te koop); weeg het samen met de registratiedatum, de samenstelling van de volgers en de continuïteit van de posthistorie. Een account dat gisteren is aangemaakt maar zich uitgeeft voor het officiële account van een oud project, is op zich al een waarschuwingssignaal.
- Zoek terug vanuit een betrouwbare bron, geloof niet zomaar de eerste treffer. Zoek niet op de projectnaam in de social media en vertrouw de bovenste. De juiste richting is: bevestig eerst met de methode uit sectie 2 de echte officiële site, en klik dan vanaf de officiële site (in de footer of op de pagina) door naar de social-links — dát is het officiële account. Laat de site instaan voor het social-account, niet andersom.
- Kijk naar wat het je laat doen. Zelfs een echt officieel account kan na een hack phishing-links posten (dat is gebeurd). Uiteindelijk kom je dus weer uit bij de beoordeling van de handeling: elk kanaal dat je een seed phrase laat invoeren, eerst kosten laat betalen of je bij „claimen" blind laat tekenen, behandel je als oplichting — hoe officieel het er ook uitziet.
Een aparte categorie is de valse support. Je stelt een vraag in de comments of een groep, en meteen stuurt een „officiële supportmedewerker" je een privébericht — dat is bijna zeker nep, want serieuze projecten benaderen je zelden uit zichzelf en echte support laat je via een privéchat niet je wallet verbinden of een seed phrase geven. Stel „wie mij uit zichzelf benadert, is verdacht" in als standaard, dan houd je een hele categorie social-engineering-trucs tegen; dit en andere veelgemaakte beginnersfouten bespraken we samen in de 10 grootste fouten.
Namaakaccounts combineren vaak met een aftelklok: ze spammen in de comments „beperkte tijd om te claimen"-links om de haast van „te traag betekent gemist" op te wekken. Zie je aandrang, dan is de juiste reactie vertragen in plaats van versnellen — ga eerst terug naar de officiële site voor een kruiscontrole en beslis daarna.
De gewoonte om officiële pagina's te bookmarken
De kruiscontrole hierboven is het huiswerk dat je doet als je een project voor het eerst tegenkomt. Maar je kunt niet elk bezoek helemaal opnieuw verifiëren — dat is te vermoeiend en je bezuinigt er te makkelijk op als je haast hebt. De oplossing is uiterst simpel en wordt zwaar onderschat: bewaar de bevestigde officiële pagina als bladwijzer en ga er voortaan telkens via de bladwijzer in.
Zodra je via kruiscontrole de echte officiële site, de echte social media en de tools die je vaak gebruikt (zoals de block explorer en de intrektool) hebt bevestigd, voeg je ze toe aan je browserbladwijzers en zet je ze in een map „crypto-veelgebruikt". Bezoek je ze daarna, dan klik je altijd via de bladwijzer en zoek je niet meer live in de zoekbalk. Het voordeel is dat je de hoogrisico-taak „echt of nep beoordelen" verandert van „elke keer opnieuw" in „alleen de eerste keer één keer"; daarna omzeil je via die betrouwbare route automatisch alle namaakingangen — je klikt nooit meer per ongeluk op een advertentie omdat je een keer haast had.
Bewaar ook je veelgebruikte veiligheidstools als bladwijzer, vooral de intrektool revoke.cash en block explorer Etherscan. Ook dit soort tools wordt nagemaakt, en juist als er iets misgaat en je in paniek bent, klik je makkelijker op een namaakversie — een bladwijzer vooraf voorkomt dat je op het kritieke moment nog eens de mist ingaat.
Deze gewoonte ziet er onbeduidend uit, maar levert veel op, want ze verandert phishingpreventie van „afhankelijk van je oordeel elke keer" in „afhankelijk van een eenmalig aangelegde, betrouwbare route". Oordeelsvermogen faalt door vermoeidheid, haast of hebzucht; een bladwijzer niet. Ik ga zelf inmiddels vrijwel nooit meer via een zoekopdracht naar een crypto-site, alles gaat via bladwijzers, en alleen dit ene punt weert de hele categorie van vergiftigde zoekadvertenties af.
Verbind geen grote wallet voordat je zeker bent
De laatste regel is een veiligheidskussen voor het „nog niet helemaal zeker". De realiteit is dat je niet elke keer voor honderd procent kunt bepalen of een nieuwe site echt is — soms is de informatie onvolledig, soms wil je gewoon even binnenkijken. Juist die niet-helemaal-zekere momenten zijn het gevaarlijkst. De oplossing is niet jezelf dwingen altijd eerst alles uit te pluizen, maar met een wallet-gewoonte je risico aftoppen: verbind, voordat je hebt bevestigd dat het officieel is, geen wallet met een groot bezit.
Concreet betekent dat: splits je wallets. Minstens twee lagen: een „kluis-wallet" die alleen langetermijnbezit bewaart, bijna nooit met vreemde sites verbindt en het liefst een hardware wallet is; en een „proefwallet" die je speciaal gebruikt om nieuwe sites te verbinden, nieuwe airdrops te bekijken en taken te doen, met alleen een klein bedrag dat je kunt missen. Zo blijft, ook als de proefwallet met een namaaksite verbindt en per ongeluk iets goedkeurt, het verlies afgetopt op dat kleine bedrag en blijft de kluis onaangeroerd. Dit is de meest kosteneffectieve verdedigingslinie, want ze vraagt niet dat je precies oordeelt, alleen dat je vooraf je eieren over meerdere manden verdeelt.
Verschijnt er na het verbinden een popup die om goedkeuring of een handtekening vraagt, dan kom je weer uit bij de beoordeling van de handeling: bij het claimen van een airdrop hoort de richting te zijn dat er tokens naar jou stromen, niet dat jij het recht om je bezit te gebruiken weggeeft; zie je bij „claimen" een verzoek om approve, setApprovalForAll, permit of onleesbaar blind tekenen, dan stop je. Het principe en het herstel hiervan werken we uitgebreid uit in nep-airdrops en approval-phishing; de officiële uitleg van wallets over risicovolle handtekeningen vind je in het MetaMask-supportcentrum, en wil je de onderliggende begrippen echt stevig krijgen, dan is de site van de Ethereum Foundation de moeite waard.
Dit stuk in één zin: phishing begint bij de ingang, niet bij de popup. Bevestig eerst met kruiscontrole de echte officiële site en kanalen, vermijd advertentieplekken, haal namaakaccounts eruit, bewaar wat je hebt bevestigd allemaal als bladwijzer en ga voortaan alleen via die bladwijzers; en zolang je nog niet zeker bent, top je met gesplitste wallets je verlies af. Deze stappen zijn op zich niet ingewikkeld; het lastige is er een gewoonte van maken die je elke keer automatisch uitvoert. Lukt dat, dan houd je op de meest kosteneffectieve plek het merendeel van de on-chain-phishing op particulieren tegen. Wil je een concreet geval nalopen, dan gebruik je daar de waarschuwingscheck voor nep-airdrops bij.