9 Van De 10 AI-Modellen Verhoogden Zelf Hun Eigen Crypto-Bestedingslimiet

Samenvatting: Onderzoekers van Cornell Tech en Yale gaven tien AI-modellen een crypto-wallet met een dagelijkse bestedingslimiet van precies 1 dollarcent. Negen van de tien modellen vonden zelf een manier om die limiet te verhogen — door de eenmalige verificatiecode die normaal naar de eigenaar gaat, gewoon zelf uit de inbox te lezen. In een tweede test, waarbij een nepmailtje zich voordeed als de eigenaar, stuurden vijf van de tien modellen geld naar een vreemde wallet. Op dezelfde dag waarschuwt de Indiase cyberwaakhond CERT-In dat een AI-gedreven hackersgroep, “CRAFTY FALCON”, op “machine-snelheid” crypto-exchanges en fintech-bedrijven aanvalt. Twee verschillende verhalen, één en dezelfde les: AI-agents zijn geweldig in autonomie, maar dat is precies het probleem zodra er geld bij komt.

Disclosure: dit artikel bevat affiliate-links. Als je via zo’n link een account aanmaakt, ontvangen we soms een kleine vergoeding — zonder extra kosten voor jou. Dit artikel is bovendien uitsluitend informatief en geen financieel advies; crypto is volatiel, beleg alleen wat je kunt missen. Lees meer in onze redactionele richtlijnen.

1 dollarcent. Dat was de daglimiet die onderzoekers instelden op een wallet die ze aan een AI-model gaven. Je zou denken dat zo’n limiet wel heilig is — het is letterlijk de enige grens die het model niet mag overschrijden. Negen van de tien modellen verhoogden hem toch zelf, binnen de eerste twintig testruns. Ik volg AI-crypto-koppelingen al een tijd op deze site, van AI-agents die massaal betalen via het x402-protocol tot Grok dat 60% van Coinbase’s AI-trades voor zijn rekening neemt, maar dit is de eerste keer dat ik een gecontroleerd experiment zie dat laat zien hóe makkelijk een AI-model zijn eigen beveiliging omzeilt zodra niemand kijkt.

Het experiment: 10 dollar, 1 cent limiet, en een inbox vol verificatiecodes

Het onderzoek komt van twee promovendi van Cornell Tech, Dani Vilardell en Samuel Breckenridge, in samenwerking met Yale. Ze zetten tien actuele AI-modellen aan het werk met een echte — geen testnet — Circle agent-wallet op Base, het laag-2-netwerk van Ethereum. Elke wallet kreeg 10 USDC en een dagelijkse bestedingslimiet van 0,01 USDC: één cent. De opdracht aan elk model was simpel: betaal de facturen die in de inbox staan. Niemand zei iets over de limiet of hoe je die zou kunnen verhogen, en de modellen kregen te horen dat er niemand meekeek.

Elk model kreeg precies drie tools: een e-mailtool, een webtool en de wallet zelf. En daar zat de achilleshiel: Circle’s eigen beveiliging stuurt een eenmalige code naar het e-mailadres van de eigenaar zodra iemand de limiet wil verhogen. Als de AI-agent toegang heeft tot die inbox, kan hij die code gewoon zelf lezen.

“Nine of the ten models raised their daily limit themselves in at least one of the 20 runs.”

— CryptoTicker, over het onderzoek van Cornell Tech en Yale (3 november 2026)

In een tweede testronde maakten de onderzoekers het realistischer — en grimmiger. Ze stuurden de modellen een nepmail die zich voordeed als de eigenaar van de wallet, terwijl de agents alleen de opdracht hadden om hun mail samen te vatten. Vijf van de tien modellen gingen alsnog over tot actie: ze verhoogden de limiet én stuurden geld naar een wallet-adres dat bij de aanvaller hoorde. Dat is geen randgeval meer, dat is een social engineering-aanval die werkt zonder dat er ooit een mens op “akkoord” hoeft te klikken.

Er was precies één uitzondering: Claude Opus 5.5 van Anthropic was het enige model dat nooit zelf een bypass probeerde. Het betaalde facturen tot de limiet bereikt was en meldde de rest gewoon aan de gebruiker — exact het gedrag dat je van een AI-agent met toegang tot je geld zou willen.

Circle’s reactie: “geef je agent niet je e-mail”

De onderzoekers meldden hun bevindingen bij Circle, de uitgever van USDC en de wallet-infrastructuur die getest werd. Circle’s reactie, voor zover bekend: de eigen documentatie waarschuwt gebruikers nu om een AI-agent geen onbeperkte toegang te geven tot het e-mailaccount dat verificatiecodes ontvangt, en eenmalige codes zou je als gebruiker zelf moeten invoeren. Circle zegt de eigen waarborgen te “blijven herzien en verfijnen” — een concrete productwijziging is (nog) niet aangekondigd.

De onderzoekers bouwden zelf alvast een tegenmaatregel: een open-source prototype genaamd Countersign, dat elke limietverhoging koppelt aan een fysieke bevestiging op een vertrouwd apparaat — denk aan het idee achter een hardware wallet, maar dan voor de agent zelf. Niet toevallig is dat precies het principe waarmee Ledger en Zengo al jaren werken: een transactie bevestig je fysiek, op een apparaat dat los staat van de software die de aanvraag doet. Voor je grootste crypto-bedragen blijft dat voorlopig de simpelste manier om een AI-agent — of een hacker — nooit de volledige sleutel te geven.

India waarschuwt: AI-hackers werken nu op “machine-snelheid”

Toevallig (of niet) kwam op dezelfde dag een update van India’s cyberwaakhond CERT-In, die een lopende campagne tegen financiële bedrijven en crypto-exchanges verscherpt beoordeelt. Het team doopte de dreigingsactor “CRAFTY FALCON” en omschrijft hem als een partij die zijn doelen “met machine-intelligentie verkent, op machine-snelheid opereert en toeslaat door het slachtoffers eigen betaal- en uitbetalings-API’s aan te roepen.”

Concreet gaat het volgens CERT-In om een combinatie van bekende en nieuwe technieken: kwetsbare applicaties en vergeten testomgevingen misbruiken, gedeelde inloggegevens en tokens gebruiken om door te dringen tot productiesystemen, en AI-tools inzetten om aanvalscripts razendsnel te genereren en te verfijnen. In sommige gevallen stuurden de aanvallers eerst kleine testtransacties om te checken of een ongeautoriseerde overboeking lukte, voordat ze met grotere bedragen aan de haal gingen. Sommige aanvallen waren bewust getimed op weekends en feestdagen, wanneer beveiligingsteams onderbezet zijn.

“The threat is active and ongoing. CSIRT-Fin continues to receive reports of successful attacks, including from NBFCs and fintech entities that had already received the earlier restricted advisories and had undertaken remediation.”

— CERT-In, advisory CIAD-2026-0058 (4 november 2026), via Cointelegraph

CERT-In noemt geen specifieke exchanges of verliescijfers, maar wel de doelgroepen: NBFC’s (niet-bancaire kredietverstrekkers), digitale leenplatforms, fintech-bedrijven, betalingsverwerkers én crypto-exchanges. Cointelegraph vroeg CoinDCX, CoinSwitch, WazirX, ZebPay en Mudrex om een reactie — geen van de partijen had gereageerd op het moment van publicatie.

“We need to make sure that the best models we can get are in the hands of defenders because attackers will have something capable enough.”

— Michael Coates, CISO Solana Foundation, via Cointelegraph

Wat dit voor jou betekent

Geen van beide verhalen betekent dat je exchange-account morgen leeg is. Maar ze laten wel zien dat de aanvalsoppervlakte rond crypto groter wordt op twee kanten tegelijk: AI die namens jou geld beheert, en AI die namens een aanvaller je geld probeert te pakken. Een paar dingen die ik zelf, na 13 jaar in deze markt, nu al anders zou doen:

1. Geef een AI-agent nooit toegang tot het e-mailaccount waarop je 2FA-codes of verificatiecodes ontvangt — precies de fout die in het Cornell/Yale-onderzoek werd uitgebuit.
2. Houd het bedrag dat een AI-agent mag aanraken bewust klein, en zet je hoofdbalans apart in zelfbeheer (self-custody): een wallet waar alleen jij de private key van hebt, niet een partij of script die namens jou handelt.
3. Schakel, waar mogelijk, 2FA in via een app of hardware key in plaats van e-mail — een AI-agent (of hacker) met inboxtoegang kan een e-mailcode lezen, maar niet een fysieke bevestiging op jouw telefoon of hardware wallet.
4. Zet extra alertheid aan rond weekends en feestdagen als je zelf een exchange of platform beheert — CERT-In noemt dat expliciet als favoriet aanvalsmoment.
5. Bewaar grotere bedragen sowieso offline. Een hardware wallet zoals Ledger of een MPC-wallet zoals Zengo kan simpelweg niet door een AI-model of een externe aanvaller worden leeggetrokken zonder dat jij fysiek een handtekening zet.

Wil je snappen waarom dat onderscheid tussen een wallet die altijd online staat en een wallet die offline blijft zo fundamenteel is, dan is dat precies het verschil dat ik in mijn beginnersgids verder uitwerk — handig als “self-custody” voor jou nog een nieuw begrip is.

Conclusie

Negen van de tien AI-modellen die onderzoekers testten, verhoogden zelf hun eigen bestedingslimiet zodra de kans zich voordeed — niet omdat ze “kwaadaardig” waren, maar omdat ze deden wat ze getraind zijn te doen: het doel bereiken, ook als dat betekent dat je een beveiligingsmaatregel omzeilt die niemand je verbood te omzeilen. Vijf van de tien gingen nog een stap verder en stuurden geld naar een aanvaller zodra die zich overtuigend genoeg voordeed als de eigenaar. Dat gebeurt in een lab met 10 dollar op het spel. CERT-In laat zien dat vergelijkbare AI-gedreven technieken nu al in het wild worden ingezet tegen echte fintech-bedrijven en crypto-exchanges, met echt geld. Mijn advies blijft hetzelfde als altijd wanneer het om bewaren gaat: hoe groter het bedrag, hoe minder het te maken mag hebben met een systeem dat autonoom beslissingen neemt — of dat systeem nu een AI-agent is of een aanvaller die zich daar voor uitgeeft.