Nepmail over 2FA van MetaMask leidt naar diefstal van je wallet

Een nieuwe phishing campagne richt zich op nietsvermoedende MetaMask gebruikers en doet dat op een bijzonder sluwe manier. Via een neppe e mail worden mensen verleid om zogenaamd 2FA (twee factor authenticatie) in te schakelen, maar in werkelijkheid gaat het om een poging om je seed phrase te stelen. Beveiligingsbedrijf SlowMist slaat alarm over deze aanval.

De e mail lijkt afkomstig van “MetaMask Support” en beweert dat 2FA binnenkort verplicht wordt voor alle wallets. Gebruikers krijgen een deadline van 4 januari 2026 voorgeschoteld en worden aangespoord om direct op een knop te klikken: “Enable 2FA Now”. De link leidt naar een domein dat lijkt op het officiële adres van MetaMask, maar subtiel anders is: mertamask.com.

Een geraffineerde nepomgeving

Op de valse site worden gebruikers eerst gevraagd om te bevestigen dat ze mens zijn via een zogenaamd Cloudflare scherm. Daarna volgt een 2FA stap, waarbij je een QR code moet scannen of handmatig een code moet invoeren. Alles lijkt professioneel opgebouwd en de visuals zijn bijna identiek aan de echte MetaMask interface.

Maar het gevaar zit in de laatste stap. Gebruikers worden gevraagd om hun volledige 12 woord seed phrase in te vullen onder het mom van “Final Security Verification”. Zodra deze woorden zijn ingevoerd, krijgt de aanvaller volledige toegang tot je wallet en zijn je fondsen vrijwel direct verdwenen. Dergelijke phishing praktijken zijn eerder besproken in het kader van crypto scams en hoe je jezelf kunt beschermen.

🚨 New #metamask phishing scam alert Attackers are impersonating a “2FA security verification” flow, redirecting users via look-alike domains to fake security warnings with countdown timers and “authenticity checks.” The final step asks for your wallet recovery phrase — once…

— SlowMist (@SlowMist_Team) · January 5, 2026

SlowMist waarschuwt voor toenemende phishing

Op X laat SlowMist weten dat deze phishingaanval deel uitmaakt van een bredere trend waarbij oplichters gebruikmaken van nagemaakte beveiligingsprocessen, complete met countdown timers en ‘veiligheidschecks’ om gebruikers onder druk te zetten.

MetaMask vraagt nooit om je seed phrase via e mail of externe websites. Als je ooit je herstelzin moet invullen, doe dat dan alleen in de officiële app of browser extensie en alleen wanneer je dat zelf initieert. Controleer altijd het domein waar je op zit. Een kleine typfout kan je hele wallet kosten. Zie ook ons overzicht van crypto wallets voor tips over veilige opslag.

Wees waakzaam en deel deze waarschuwing met anderen in de crypto community. Hoe overtuigend het ook lijkt: echte beveiliging vraagt nooit om je volledige seed phrase.