Crypto-projecten verloren in juli ongeveer 110 miljoen dollar aan hacks, en volgens beveiligingsplatform Immunefi is dat geen uitschieter maar een teken dat 2026 afstevent op het slechtste hackjaar tot nu toe. Het platform telde tot en met 3 augustus 164 incidenten, waarvan 67 met een schade van meer dan een miljoen dollar per keer.
Kerncijfers
- Hackschade juli: circa 110 miljoen dollar
- Uitbetaald aan onderzoekers in juli: 2,32 miljoen dollar
- Prognose grote hacks 2026: 114 incidenten
- Vorig record (2024): 72 grote incidenten
Om de omvang te snappen: een groot incident betekent hier meer dan een miljoen dollar buit. Immunefi verwacht dat het aantal van die zware gevallen dit jaar oploopt tot 114, wat ruim boven de 72 uit 2024 zou uitkomen. Ter vergelijking: op ditzelfde moment in 2024 stond de teller nog op 49.
Twee aanvallen kleurden de julischade
Het maandtotaal werd zwaar gedomineerd door twee incidenten. Ostium raakte 23,75 miljoen USDC kwijt nadat een aanvaller de off-chain infrastructuur wist te compromitteren en de prijsdata manipuleerde waar het protocol op leunt. Daarnaast werd AFX getroffen door een bridge-exploit van 24,15 miljoen dollar. Samen goed voor meer dan 47 miljoen dollar, oftewel bijna de helft van de julischade.
Dat past in een bredere verschuiving die Immunefi al langer signaleert. De grootste klappen komen steeds minder uit klassieke smart-contractfouten en steeds vaker uit operationele zwakke plekken: gecompromitteerde infrastructuur, gelekte privésleutels en verkeerd geconfigureerde cross-chain-verbindingen.
Meer bugmeldingen, maar niet minder schade
Tegelijk groeit de verdediging. Immunefi betaalde in juli 2,32 miljoen dollar aan onderzoekers voor bevestigde kwetsbaarheden, en het aantal meldingen dat zowel bevestigd als uitbetaald werd steeg 18 procent ten opzichte van de maand ervoor. De bugbountyprogramma’s blokkeerden 374 dreigingen, tegen 317 in juni en 339 in mei. De cumulatieve uitbetalingen aan onderzoekers staan nu op 143,1 miljoen dollar.
Die stijging heeft alles te maken met AI. Onderzoekers zetten steeds vaker AI-tools in om code te scannen en rapporten voor te bereiden, wat het aantal inzendingen opdrijft. Het nadeel: teams krijgen daardoor ook meer rommelmeldingen en valse positieven binnen. Meer meldingen betekent dus niet automatisch minder schade: een enkele niet-gepatchte fout of gestolen sleutel kan nog altijd een aanval van negen cijfers opleveren, en precies daarom bleef het julitotaal zo hoog.
Wedstrijden vinden meer dan dure audits
Het opvallendste cijfer zit in de vergelijking tussen soorten controles. Immunefi bekeek 1.178 audits van gerenommeerde beveiligingsbedrijven en vond daar een mediaan van nul kritieke of ernstige kwetsbaarheden. Bij 58 zogeheten audit competitions lag dat compleet anders: gemiddeld 6,2 ernstige kwetsbaarheden per opdracht, tegen 1,5 bij de private tier-1 audits. Bij zo’n wedstrijd buigen meerdere onafhankelijke onderzoekers zich over dezelfde code en verdienen ze per gevonden lek.
| Methode | Ernstige bugs per opdracht | Kosten per kritiek lek |
|---|---|---|
| Audit competition | 6,2 | 6.548 dollar |
| Private tier-1 audit | 1,5 | circa 66.000 dollar |
| Aanvaller vindt het eerst | n.v.t. | geschat 24,5 miljoen dollar |
Het prijsverschil vertelt het hele verhaal. Een kritiek lek opsporen via een wedstrijd kost gemiddeld 6.548 dollar, via een private audit zo’n 66.000 dollar, en als een aanvaller het als eerste ontdekt loopt dat op tot naar schatting 24,5 miljoen dollar.
Waarom een afgeronde audit geen garantie is
Recente incidenten laten zien dat een voltooide controle geen vrijbrief is. Bij het Coldcard-lek vond een AI-ondersteunde audit nog eens 85 kritieke bugs in Bitcoin-gerelateerde projecten, nadat een firmwarezwakte al portemonnees had blootgelegd. De boodschap van Immunefi is helder: projecten hebben doorlopende bugbountyprogramma’s en competitieve reviews nodig naast de gebruikelijke audits.
De cijfers passen bovendien in een groter plaatje. In de eerste helft van 2026 telde Immunefi al 207 incidenten, het hoogste aantal ooit, terwijl de totale schade juist onder een miljard dollar bleef en lager uitkwam dan een jaar eerder. Volgens de firma betekent dat, zoals de beveiliger het omschreef, dat aanvallen “more frequent but less costly per event” worden. Het aantal aanvallen stijgt dus, terwijl de gemiddelde buit per keer daalt. Voor protocolteams verandert dat weinig aan de kern: het risico blijft materieel.
