Curaçao Gambling Hack ontmaskert ongeveer 800 verborgen casino-eigenaren, waarvan de meeste Europees zijn

Wat de Curaçaose gokhack onthulde

Een negen maanden durende inbraak in de Curaçao Gaming Authority (CGA) heeft onthuld wie werkelijk eigenaar is van honderden offshore online casino's. Het blijkt dat de meeste van die eigenaren Europees zijn.

De gelekte bestanden koppelen ongeveer 800 uiteindelijk gerechtigden aan de 646 bedrijven die in december 2025 een Curaçaose gokvergunning hadden. Samen beheren deze bedrijven duizenden websites, waaronder merken die toezichthouders in heel Europa hebben beboet of op de zwarte lijst hebben gezet.

De documenten suggereren ook dat de toezichthouder routinematig licenties goedkeurde, terwijl fundamentele vragen over eigendom onbeantwoord bleven. De CGA heeft dit punt niet betwist. Verschillende van de bekendste cryptocasino’s en sportsbooks in de sector behoren tot de merken waarvan de geregistreerde eigenaren nu in de cache verschijnen.

Voor de Europese autoriteiten levert het lek iets op waar het al tientallen jaren aan ontbreekt: namen. Tot nu toe heeft een muur van anonieme brievenbusfirma's de verantwoordelijken verborgen gehouden voor zowel toezichthouders als belastinginners.

Hoe een nep-vergunningaanvrager bij de toezichthouder terechtkwam

De inbreuk begon met een simpele misleiding. In december 2025 meldde de in Berlijn gevestigde hacker Lilith Wittmann zich aan bij het licentieportaal van de CGA. Ze deed zich voor als een Nederlandse trustkantoorbeheerder die de toezichthouder al kende, maar vulde haar persoonlijke e-mailadres in.

Ze beweerde een stichting te vertegenwoordigen die ze had uitgevonden, en binnen enkele dagen werd toegang verleend. Naar eigen zeggen ontdekte ze binnen enkele uren na het inloggen een exploiteerbaar beveiligingslek.

Door die fout werd het hele licentiebeheersysteem geopend, waarin elke aanvraag en elk ondersteunend document werd opgeslagen. Wittmann zegt dat ze vervolgens de toezichthouder ongeveer negen maanden lang ‘in realtime’ aan het werk zag, onopgemerkt door het personeel.

De CGA heeft bevestigd dat een account dat onder een valse identiteit is aangemaakt, van december 2025 tot september 2026 gebruik heeft gemaakt van haar portaal. De CGA zegt dat de inbraak onder controle is gebracht, noemt het een ernstige inbreuk op de Curaçaose wet en zal hiervan melding maken bij de autoriteiten.

De trek is enorm. Het omvat eigendomsverklaringen, vergunningsaanvragen, interne beoordelingen van de toezichthouder, paspoorten, belastingaangiften en financiële administratie.

Op 23 september ging een doorzoekbaar openbaar archief van ruim 40.000 documenten online onder de naam Casino Secrets. Iedereen kan bedrijven en domeinen opzoeken, al benadrukt de site dat het verschijnen in de bestanden geen onrechtmatig gedrag impliceert.

Wittmann is geen onbekende op het gebied van de servers van goktoezichthouders. Eerder in 2026 overtrad ze een systeem van de Malta Gaming Authority.

Een Europees eigendomsnetwerk achter Caribische brievenbussen

Onderdanen van Oekraïne, het Verenigd Koninkrijk en Cyprus voeren de lijst van eigenaren aan die in de dossiers worden geïdentificeerd, terwijl 13 Nederlanders zijn. Op papier zijn hun bedrijven Curaçaose brievenbusmaatschappijen, beheerd door lokale trustkantoren.

Die poortwachterslaag is opmerkelijk klein. Slechts 40 vertegenwoordigers van 30 trustkantoren handelden namens de vergunninghoudende bedrijven met de toezichthouder, en 31 van hen beschikken over een Nederlands paspoort.

De bestanden bereiken ook de top van de markt. Vier gevallen springen in het oog:

Toen ze werden benaderd, zeiden de vertegenwoordigers van het sportsbook dat ze niet konden reageren op aannames uit documenten die ze niet hadden gezien. De eigenaren van het op Brazilië gerichte casino en de exploitant die in Nederland een boete kreeg, reageerden niet. Het verschijnen in de dossiers betekent niet dat iemand de wet heeft overtreden.

In Duitsland koppelden verslaggevers die de bestanden doorzochten ongeveer 1.000 casinodomeinen aan exploitanten die verbonden waren aan één leverancier van casinosoftware. De leverancier zegt geen casino's te runnen en vergelijkt zijn rol met die van een leverancier van kantoorsoftware. De CGA deed de groepering af als de eigen uitvinding van de verslaggevers.

Dezelfde reeks onthullingen strekt zich uit tot de grootste illegale casinozaak van Duitsland. Op 8 september doorzochten meer dan 100 agenten elf eigendommen, voornamelijk rond Frankfurt, en arresteerden een hoofdverdachte. Aanklagers beweren dat het casino zonder vergunning tussen juli 2021 en eind 2023 ongeveer € 5,86 miljard aan inzetten heeft gestolen.

De gezamenlijke gokregulator van Duitsland, de GGL, heeft sindsdien het op Duitsland gerichte online casino als middelpunt van de zaak aangemerkt. Wittmann, die het casino aan Curaçao koppelt, schat het Duitse kansspelbelastingtekort op ongeveer €250 miljoen, een cijfer dat niet officieel is bevestigd. De softwareleverancier zegt dat hij mogelijk afzonderlijke componenten aan dat casino heeft geleverd, maar geen rol heeft gespeeld bij de exploitatie ervan.

Het verhaal bereikt ook de Scandinavische landen. Publieke omroepen in Noorwegen en Zweden onderzochten de dossiers samen met Nederlandse, Duitse en Oostenrijkse redacties, en volgens Noorse berichtgeving bevonden Noren zich onder de vergunningsaanvragers.

De herziening van de vergunningverlening op Curaçao ligt onder vuur

Het lek komt net op het moment dat Curaçao probeert zijn al lang bestaande reputatie van laks toezicht van zich af te schudden. Bijna dertig jaar lang verkochten enkele particuliere houders van een hoofdlicentie sublicenties aan exploitanten over de hele wereld, waarbij de staat nauwelijks betrokken was.

Die licentie stond exploitanten nooit toe weddenschappen in andere landen aan te nemen. De aantrekkingskracht ervan was toegang: tot lokale trustkantoren, betalingsbedrijven en leveranciers van casinosoftware, plus een stempel waardoor exploitanten er legitiem uitzagen.

Onder druk van Nederland heeft Curaçao in 2024 de Landsverordening Kansspelen (LOK) aangenomen, waardoor exploitanten onder direct CGA-toezicht komen te staan. Een licentie kost nu ongeveer €47.450 per jaar, en de toezichthouder heeft in juni de regels voor crypto-operatoren aangescherpt.

De CGA zegt dat de sector nog steeds in transitie is. Stap voor stap worden nieuwe eisen ingevoerd, een keuze die onder verantwoordelijkheid van de minister van Financiën wordt gemaakt. De toezichthouder voegt hieraan toe dat zij geen vergunningen weigert bij de eerste tekenen van twijfel.

Het zegt ook dat het sinds 2023 ongeveer 28% van de aanvragen heeft afgewezen en dat zijn licenties geen markten zoals Duitsland bestrijken. Het waarschuwt tegen het beoordelen van aanvragen op basis van afzonderlijke documenten zonder het volledige dossier.

Critici zijn niet overtuigd. Marcel Pheijffer, hoogleraar forensische accountancy aan Nyenrode Business Universiteit, zei dat een dergelijke aanpak in Nederland onmogelijk zou zijn. Een toezichthouder, zo betoogde hij, moet nadenken voordat hij handelt.

Björn Fuchs, voorzitter van de Nederlandse online gokvereniging VNLOK, ging verder. Hij zei dat de nieuwe wet “jammerlijk faalt” en drong er bij de toezichthouder op aan om vergunningen te weigeren als er waarschuwingen blijven bestaan.

Wat gebeurt er daarna

De gevolgen beginnen pas. Het forensisch onderzoek van de CGA loopt nog steeds en Wittmann heeft gezegd dat ze van plan is de volledige lijst van uiteindelijke begunstigden vrij te geven.

Op Curaçao verschuift de controle naar het ministerie van Financiën. De toezichthouder zegt dat de langzame uitrol van de nieuwe regels onder de verantwoordelijkheid van de minister is besloten, en lokale media vragen nu al welke instructies de CGA heeft gekregen.

Bedrijven die afhankelijk zijn van aangegeven eigendomsgegevens worden met hun eigen afrekening geconfronteerd. Banken, betalingsproviders en cryptobedrijven die samenwerken met exploitanten met een Curaçaose licentie, moeten mogelijk hun due diligence-dossiers opnieuw bekijken.

De juridische strijd over de methoden van Wittmann is nog lang niet beslecht. Volgens Wittmann heeft de Malta Gaming Authority onlangs een kort geding tegen haar in Berlijn verloren, waardoor ze gebruik kan blijven maken van haar documenten.

Voor spelers is de boodschap simpel: een Curaçaose licentie onthult weinig over wie een casino runt. Het maakt een exploitant ook niet legaal in landen als Duitsland of Nederland, waar een nationale vergunning vereist is.

Veelgestelde vragen

Wat gebeurde er bij de gokhack op Curaçao?

Een hacker registreerde zich in december 2025 onder een valse identiteit op het licentieportaal van de Curaçao Gaming Authority. Vervolgens had ze ongeveer negen maanden toegang tot het licentiebeheersysteem van de toezichthouder, totdat de inbreuk in september 2026 werd ontdekt.

Wie zit er achter de hack van de Curaçao Gaming Authority?

De in Berlijn gevestigde hacker en beveiligingsonderzoeker Lilith Wittmann heeft de verantwoordelijkheid opgeëist. Eerder in 2026 overtrad ze ook een systeem van de Malta Gaming Authority.

Hoeveel casino-eigenaren werden blootgesteld?

De bestanden koppelen ongeveer 800 uiteindelijke begunstigden aan 646 bedrijven met een vergunning op Curaçao vanaf december 2025. De meeste eigenaren zijn Europees, geleid door onderdanen van Oekraïne, Groot-Brittannië en Cyprus.

Zijn grote casinomerken getroffen door het lek?

Ja. Verschillende van de bekendste cryptocasino’s en sportsbooks met een licentie op Curaçao komen in de documenten voor, naast honderden minder bekende exploitanten. Het vermelden in de bestanden duidt op zichzelf niet op wangedrag.

Kan een casino met een Curaçaose licentie legaal actief zijn in Europa?

Niet alleen op basis van die licentie. Een Curaçaose vergunning staat gokken niet toe in landen als Duitsland of Nederland, die hun eigen nationale vergunningen vereisen.

Hoe heeft de Kansspelautoriteit op Curaçao gereageerd?

De CGA heeft de ongeoorloofde toegang bevestigd, zegt dat deze is ingeperkt en noemt het een ernstige inbreuk op de Curaçaose wet. Het zegt dat de sector zich in een overgangsperiode bevindt en waarschuwt voor het trekken van conclusies uit individuele documenten.