Ecosysteemupdate
We brachten 360+ upgrades uit. Daarna betaalden we professionals om te proberen ze te kraken.
Meer dan 360 verbeteringen in één weekend doorgevoerd in het Tratok-ecosysteem, een volledige penetratietest door een red team, en transactieverwerking die in benchmarks nu meer dan 700% efficiënter is dan voorheen.
Carol
Communitymanager, Tratok
Hier is iets wat de meeste platforms nooit hardop zullen toegeven: het weekend waarop je een enorme release uitbrengt, is precies het weekend waarop je het meeste risico loopt om iets te slopen.
Wij doen het graag anders, dus nadat we in één weekend meer dan 360 verbeteringen aan het Tratok-ecosysteem hebben uitgerold, hebben we het hele zaakje niet eens gevierd, maar overhandigd aan een professioneel redteam met de vraag of ze het kapot wilden krijgen.
Ze hebben hun best gedaan. Hard ook.
Dat was precies de bedoeling.
360+
verbeteringen uitgerold in één weekend
1
volledige professionele redteam-opdracht
700%+
transactie-efficiëntie winst, live on-chain
2
ketens live: Ethereum en BNB Smart Chain
Hoe 360 verbeteringen er in de praktijk uitzien
Dat klinkt misschien als een marketingclaim. Dat is het niet. Het is een changelog.
Een deel ervan is het zichtbare werk. Boekingsstromen voor verblijven, activiteiten en diner. Wallet-schermen. Tara’s antwoorden. Het dashboard voor aanbieders. Zoeken dat niet langer een opgave is.
Een groot deel is onzichtbaar. Foutafhandeling voor de uitzonderingen waar niemand aan denkt tot je er midden in de nacht in een onbekende stad tegenaan loopt. Vertaalstrings die technisch correct waren en in de praktijk onhandig. Vertraging weggehaald op schermen waarvan je niet wist dat ze traag waren, omdat je ze nooit met iets beters hebt kunnen vergelijken.
De meeste hiervan zul je nooit opmerken.
En dat is het grootste compliment dat ik ze kan geven. Software die je opvalt, is meestal software die faalt.
Bedankt. Uit de grond van mijn hart.
Voor de engineers die een weekend lang hebben uitgerold in plaats van uitgerust. Voor het publiek dat feedback en functieverzoeken heeft gestuurd. Voor onze horecapartners die de ruwe kantjes in het provider portal hebben gemeld in plaats van er stilletjes omheen te werken.
En voor ieder afzonderlijk communitylid dat ons een screenshot stuurde van iets dat er niet goed uitzag.
Jullie zijn de reden dat die lijst 360 items telt en geen 30. Blijf ze sturen.
Daarna huurden we mensen in wier enige taak het is om ons kapot te krijgen
Een penetratietest volgens de industrienorm is geen kwetsbaarhedenscanner. Het is geen vinkje, en het is geen pdf die je ophangt en aan de muur prijst in de receptie.
Een red team is een groep professionals die je aanvallen zoals een echte, geraffineerde tegenstander dat zou doen, met hetzelfde geduld en een stuk slechtere manieren. Ze brengen je infrastructuur in kaart. Ze tasten authenticatie af. Ze speuren naar de kloof tussen wat je systeem hoort te doen en wat het onder druk werkelijk doet. Privilege-escalatie. Sessiemanipulatie. Injectie. Misbruik van bedrijfslogica. Al die saaie, onopvallende technieken die in de praktijk blijven werken juist omdat ze saai zijn.
We hebben het Tratok-ecosysteem precies daaraan onderworpen.
Het traject
01
Scope
Alles wat meespeelt. Wallet, boeking, Tara, providerportaal, API’s.
02
Verkenning
Breng het systeem van buiten naar binnen in kaart, precies zoals een aanvaller dat zou doen.
03
Aanval
Probeer actief authenticatie te omzeilen, rechten te escaleren en logica te misbruiken.
04
Herstel
Elke bevinding ingedeeld op ernst. Hoogste eerst. Geen uitzonderingen.
05
Hertest
Zelfde team, zelfde aanvallen. Een fix die niemand opnieuw heeft aangevallen, is niet meer dan een gok.
De horrorverhalen waar we geen zin in hebben om in mee te draaien
Laat me duidelijk zijn over de geest van dit stuk, want ik schrijf het niet om iemand bang te maken. Het staat hier om uit te leggen waarom we echt geld uitgeven aan mensen die als taak hebben om onze engineers het zweet te laten uitbreken.
De crypto kent een lange geschiedenis van beveiligingsfalen. Het is de moeite waard om er een paar door te nemen, want de oorzaken herhalen zich met een bijna saaie regelmaat.
$1.5B
Bybit, 2025
De grootste cryptodiefstal uit de geschiedenis. De aanvallers wisten de ondertekeninterface te compromitteren, waardoor wat de goedkeurders op het scherm zagen niet de transactie was die ze daadwerkelijk goedkeurden. Zo’n 401.000 ETH verdween via een cold wallet-overdracht die volkomen routineus leek.
$625M
Ronin Bridge, 2022
Een spearphishing-e-mail leidde naar privésleutels van validators. Vijf van de negen handtekeningen waren genoeg om opnames te vervalsen. Niemand merkte het zes dagen lang, en pas toen een gebruiker geen opname kon doen.
$611M
Poly Network, 2021
Een fout in een bevoorrecht contractpad gaf een aanvaller de mogelijkheid om het protocol simpelweg op te dragen zijn tegoeden over te dragen. Het meeste werd uiteindelijk teruggegeven.
$530M
Coincheck, 2018
Een enorme voorraad geparkeerd in één enkele hot wallet, geen multisig, geen cold storage. Dit is het schoolvoorbeeld van het argument voor scheiding tussen hot en cold.
$320M
Wormhole, 2022
Een omzeiling van de handtekeningverificatie. Het systeem werd gevraagd te controleren of een goedkeuring echt was, en het zei ja tegen iets dat dat niet was.
$190M
Nomad Bridge, 2022
Een routine-upgrade maakte in stilte elke bericht geldig. Geen elitehackers nodig. Vreemden kopieerden en plakten dezelfde transactie tot de brug leeg was.
Let nu eens op wat er ontbreekt op die lijst
Vrijwel geen van deze incidenten draaide om exotische cryptografie. Niemand kraakte de wiskunde van elliptische curven. Niemand rekende een blockchain onderuit. De fouten waren operationeel. Sleutels op de verkeerde plek. Te veel geld dat ergens warm stond te wachten. Een tekenvenster dat loog tegen de persoon die op goedkeuren klikte. Een upgrade die niemand opnieuw had getest. Rechten die tijdelijk werden verleend en daarna nooit meer werden ingetrokken.
Chainalysis schatte de totale crypto die in 2024 is gestolen op ruim 2,2 miljard dollar over 303 afzonderlijke incidenten, waarbij gecompromitteerde privésleutels de grootste enkele oorzaak was. 2025 was erger: zo’n 3,4 miljard dollar.
En soms is het zelfs geen hack. Mt. Gox verloor over een aantal jaren zo’n 850.000 bitcoin, en FTX stortte in zonder te zijn gehackt.
En dat is precies waarom het minst glamoureuze systeem dat we draaien, het systeem is waar we het meest trots op zijn.
Vijf lagen tussen een aanvaller en jouw saldo
Laag 1
Onafhankelijke tests door een red team
Professionals die ons op vaste momenten met opzet aanvallen. Vinden, oplossen, verifiëren, herhalen.
Laag 2
Passkey of authenticatorcode bij elke transactie
Phishing-bestendige, aan het apparaat gebonden goedkeuring. De privésleutel verlaat je apparaat nooit en er is geen wachtwoord dat op een server klaarligt om gestolen te worden.
Laag 3
Warme float, koude reserves
Alleen een kleine werkfloat ligt ooit in een warme omgeving. Het overgrote deel van de reserves staat in koude opslag, offline. Kijk op de Coincheck-kaart hierboven om te zien wat er gebeurt als je dit overslaat.
Laag 4
Definaliteit-bewaakte stortingen, idempotent grootboek
Je saldo wordt pas erkend nadat het netwerk het bevestigt, wat beschermt tegen ketenreorganisaties. Elke grootboekregel is idempotent, zodat dezelfde gebeurtenis nooit twee keer kan worden verwerkt. Een dubbel tikken kan niet dubbel versturen.
Laag 5
Continue solvabiliteitscontrole
Een automatische reconciliator controleert voortdurend of het totale gebruikerssaldo nooit de werkelijke on-chain bezittingen overschrijdt, en slaat ruim op tijd alarm, lang voordat een tekort een opname kan bereiken.
De kern
EEN VEILIG ECOSYSTEEM
Elke TRAT die wordt weergegeven, is een TRAT die wordt aangehouden.
Dat is geen slogan die we op een banner zetten. Het is een controle die draait of er nu iemand kijkt of niet, en het is het enige dat een platform onderscheidt van een nieuwskop.
Transacties zijn live. En ze zijn flink sneller geworden.
De transactiefunctionaliteit is nu volledig ingeschakeld in het hele ecosysteem. Dat op zich was de kop die we verwachtten te schrijven.
Toen hebben we het doorgemeten. Niet in een lab, niet tegen een gesimuleerde keten, maar onder live on-chain omstandigheden op Ethereum en BNB Smart Chain.
De transactieverwerking bleek meer dan 700% beter dan onze vorige basislijn.
TRANSACTIEVERWERKINGSEFFICIËNTIE (GEÏNDEXEERD)
Vorige basislijn
100
Na deze upgrade
800+
+700%
gemeten op live on-chain benchmarks
Dit is wat dat echt betekent om zes uur ’s ochtends, op een luchthaven, met 4% batterij:
- Boekingen die afrekenen terwijl je nog naar het scherm kijkt.
- Restituties die terug op je saldo komen in plaats van in een wachtrij.
- Opnames die worden verwerkt zonder dat je de pagina hoeft te verversen alsof die je iets verschuldigd is.
- Interne verzendingen tussen Tratok-gebruikers die blijven wat ze altijd waren: directe boekingen, geen ketenwachttijd, geen kosten.
Het werk on-chain ging sneller. Het werk off-chain was al direct. Samen beweegt het hele ding sneller dan wie dan ook ooit had kunnen verwachten.
Dus wat is de volgende stap
Na verdere verfijningen die op maandag 13 juli 2026 zijn afgerond, is er weer een pentest gepland. Onze filosofie is dat een pentest een controlepunt is, geen eindstreep. Terwijl we voortdurend meer updates doorvoeren en steeds meer onderdelen van het ecosysteem openen, blijft veiligheid een van onze topprioriteiten en verantwoordelijkheden. Dat is nu eenmaal het werk. Blijf op de hoogte!
Carol
Communitymanager, Tratok
Over TRAT. TRAT is een utilitytoken die binnen het Tratok-ecosysteem wordt gebruikt voor reizen, verblijven, activiteiten en diners. Niets in deze post is beleggingsadvies, en niets hier mag worden opgevat als een uitspraak, voorspelling of suggestie over de waarde van de token.
Over de cijfers. Verliezen door incidenten van derden zijn zoals gerapporteerd door Chainalysis, Elliptic en contemporaine persberichten, gewaardeerd op het moment van elk incident. Benchmarkresultaten komen uit de eigen live on-chain tests van Tratok en variëren met de netwerkomstandigheden.
Over de test. Specifieke bevindingen van de pentest worden niet openbaar gemaakt, in lijn met de standaardpraktijk van verantwoordelijke beveiliging.
Mis nooit meer een update
Ontvang nieuwe Tratok-artikelen per e-mail: direct na publicatie, of als één wekelijkse samenvatting.