Hoe cryptowallets op een Mac worden leeggehaald, en hoe je dat voorkomt.

1Waar stealers je herstelzin zoeken

Mac-stealers gaan recht op wallets af. Atomic (AMOS) richt zich op zo’n 50 wallet-extensies voor browsers en desktopwallets zoals Electrum en Exodus, plus de sleutelhanger en bestanden op je bureaublad en in Documenten (BleepingComputer, 2023). MacSync, in 2025 en 2026 verspreid via geplakte Terminal-commando’s, neemt herstelzinnen van cryptowallets mee, samen met de sleutelhanger (The Hacker News, 16 maart 2026).

Een herstelzin die je in Notities typte, als .txt-bestand bewaarde, als screenshot hield of naar jezelf mailde, is dus één zoekopdracht verwijderd voor elke stealer die op de Mac draait, al is het maar een minuut.

2Vind de zinnen die nog op je Mac staan

Deze commando’s tonen bestanden op je Mac waarvan de tekst de woorden bevat die mensen naast een zin schrijven. Ze zoeken alleen; ze openen en versturen niets:

mdfind -onlyin ~ "recovery phrase"

mdfind -onlyin ~ mnemonic

mdfind -onlyin ~ "seed phrase"

Kijk ook je screenshots door: zoek in Foto’s naar ‘herstelzin’, ‘seed’ of ‘wallet’; Foto’s vindt tekst in afbeeldingen. Verwijder wat je vindt nadat je de zin op papier hebt overgenomen, en leeg daarna de prullenmand en het album Recent verwijderd.

3Verwisselde adressen op het klembord

Een clipper houdt je klembord in de gaten. Kopieer je iets dat op een crypto-adres lijkt, dan verwisselt hij het voor een adres van de aanvaller van hetzelfde soort, zodat je niet plakt wat je hebt gekopieerd.

De gewoonte die het stopt: vergelijk na het plakken het hele adres, niet alleen de eerste en laatste paar tekens, met het adres dat je wilde gebruiken. Op een hardwarewallet vergelijk je het op het scherm van het apparaat voordat je bevestigt.

4Address poisoning: de lookalike in je geschiedenis

Aanvallers sturen piepkleine bedragen vanaf adressen die beginnen en eindigen zoals adressen die jij hebt gebruikt, zodat er een lookalike in je eigen geschiedenis staat. Kopieer één keer uit de geschiedenis en het geld gaat naar hen.

Het werkt: twee mensen verloren zo in december 2025 en januari 2026 meer dan 62 miljoen dollar, de een zo’n 50 miljoen en de ander 12,2 miljoen, die laatste nadat hij een adres uit zijn transactiegeschiedenis had gekopieerd (Cointelegraph over de cijfers van Scam Sniffer, 9 februari 2026).

Het overkwam MLX ook: vlak nadat MLX zijn geld op 2 november 2026 naar nieuwe cold wallets had overgezet, begonnen lookalike-adressen er stofbedragen naartoe te sturen op Solana en BNB Chain.

• Kopieer nooit een adres uit je transactiegeschiedenis.
• Sla adressen waar je vaak naar stuurt op als contact, en kies ze daar.
• Negeer piepkleine binnenkomende bedragen van adressen die je niet kent. Stuur ze niet terug.
• Stuur eerst een kleine test naar elk nieuw adres, en controleer of die is aangekomen.

5Een walletcheck van vijf minuten

1. Doorzoek je Mac op opgeschreven zinnen (de commando’s hierboven) en kijk je screenshots door.
2. Open de extensiepagina van je browser. Houd alleen de wallets die je zelf hebt geïnstalleerd, via de link van de walletmaker zelf; verwijder alles wat je niet herkent.
3. Controleer of macOS bijgewerkt is: Systeeminstellingen → Algemeen → Software-update.
4. Bekijk op EVM-chains oude tokengoedkeuringen die je niet meer nodig hebt en trek ze in, bijvoorbeeld met Revoke.cash.
5. Heb je ooit een commando van een webpagina in Terminal geplakt, doe dan ook de Mac-check.

6Als je wallet is leeggehaald

1. Zet wat er over is naar een nieuwe wallet die op een schoon apparaat is gemaakt, met een nieuwe herstelzin. Gebruik de oude zin nooit opnieuw.
2. Wijzig vanaf dat schone apparaat de wachtwoorden van je e-mail en je exchange-accounts, en zet twee-factor-authenticatie aan.
3. Ging het geld naar een stortingsadres van een exchange, meld het dan meteen bij die exchange met de transactie-ID.
4. Een overboeking op een blockchain kan niet worden teruggedraaid. Wie aanbiedt je crypto tegen betaling terug te halen, pleegt een tweede oplichting.

7Vragen

Mijn wallet is leeggehaald. Wat moet ik doen?

Zet wat er over is naar een nieuwe wallet die op een schoon apparaat is gemaakt, met een nieuwe herstelzin, en wijzig vanaf dat apparaat je wachtwoorden voor e-mail en exchanges. Ging het geld naar een exchange, meld de transactie-ID dan bij die exchange. Zoek daarna uit hoe de zin is uitgelekt voordat je de Mac weer voor crypto gebruikt.

Wat is address poisoning?

Aanvallers sturen piepkleine bedragen vanaf adressen die lijken op adressen die jij hebt gebruikt, zodat er een lookalike in je geschiedenis verschijnt. Kopieer je uit de geschiedenis, dan stuur je naar hen. Het gebeurt op elke chain, ook op Ethereum, BNB Chain, Tron en Solana. Kies adressen liever uit opgeslagen contacten.

Waar bewaar ik mijn seedphrase?

Op papier of metaal, offline, op twee aparte plekken. Nooit in Notities, een tekstbestand, een screenshot, een foto, een e-mail of een clouddrive. Gebruik voor grotere bedragen een hardwarewallet, zodat de sleutels de computer nooit raken.

Is het veilig om mijn herstelzin in een wachtwoordmanager te bewaren?

Het is veel beter dan een notitie of een screenshot, maar de zin staat nog steeds op de computer: een stealer die als jou draait, kan er soms bij. Bewaar de zin offline voor alles wat je je niet kunt veroorloven te verliezen.

Kan gestolen crypto worden teruggehaald?

Meestal niet: een overboeking op een blockchain is definitief. Ging het naar een exchange, dan kan die het bevriezen als je het snel meldt. Negeer iedereen die herstel tegen betaling aanbiedt.