Walletdrainer

Wat het is

Een walletdrainer is kant-en-klare software waarmee oplichters de inhoud van een wallet weghalen. Het bijzondere eraan is dat er niets wordt gekraakt: het slachtoffer ondertekent zelf, met zijn eigen sleutel, de transactie die hem zijn munten kost.

Drainers worden als dienst aangeboden. De maker levert de programmatuur en de infrastructuur, iemand anders zorgt voor de nepwebsite en het verkeer ernaartoe, en de opbrengst wordt gedeeld. Daardoor hoeft de uitvoerder zelf niets technisch te kunnen.

Hoe het werkt

De aanval begint bij een pagina die eruitziet als een bekende dienst: een handelsplatform, een gratis uitgifte van tokens, een pagina om een vergoeding op te halen. De gebruiker verbindt zijn wallet, zoals hij dat overal doet, en krijgt een verzoek om te ondertekenen.

Dat verzoek is het punt waar het misgaat. Het gaat vaak niet om een betaling maar om een machtiging: toestemming waarmee een contract voortaan munten van het adres mag opnemen. In de wallet ziet zo'n verzoek eruit als een technische regel zonder bedrag. Wie tekent, geeft een openstaande volmacht af, die soms pas dagen later wordt gebruikt.

Daarna gaat het snel en geautomatiseerd. De drainer kijkt welke bezittingen op het adres het meest waard zijn, haalt die als eerste weg en verdeelt de opbrengst meteen over andere adressen.

Waarom het in het nieuws komt

Deze vorm van diefstal treft grote aantallen mensen tegelijk en is lastig te bestrijden, omdat er technisch niets kapot is. De transactie is geldig, ondertekend door de rechtmatige eigenaar, en op de blockchain niet terug te draaien. Dat maakt ook aansprakelijkheid ingewikkeld: het platform is niet gehackt en de wallet heeft gedaan wat hem werd gevraagd.

Voor onderzoek is de opzet als dienst juist bruikbaar. Omdat dezelfde drainer door veel oplichters wordt gebruikt en de opbrengst volgens een vaste verdeling wordt afgesplitst, zijn de betalingen naar de makers op de blockchain zichtbaar. Analisten herkennen daaraan hele families van zaken, en die sporen leiden vaker naar de leveranciers dan naar de uitvoerders.

Is het verboden?

Ja. Zowel het leeghalen van andermans wallet als het leveren van de middelen daarvoor is in vrijwel elk rechtsgebied strafbaar, als diefstal, oplichting of computervredebreuk. Dat het slachtoffer zelf tekende, doet daar niet aan af: die handtekening is met misleiding verkregen.