De anatomie van een multi-accounting-aanval: casestudy van een iGaming-platform

Multi-accounting in iGaming gaat niet over een stel mensen dat extra accounts opent. Het zijn professionele operaties die honderden synthetische identiteiten inzetten tegen één enkel platform en welkomstbonussen, cashback en promotie-uitbetalingen weghalen.

De economie werkt omdat de marginale kosten van een nieuw account bijna nul zijn — e-mail, wegwerptelefoonnummer, gestolen of gesynthetiseerde identiteitsdocumenten — en de marginale uitbetaling per account is echt geld. Bij $50–200 aan onttrokken waarde per account levert 200 accounts tegen één operator een voltijdinkomen op.

Dit is een analyse van een echt aanvalspatroon dat in 2025 tegen Europese iGaming-operators is waargenomen. Namen en details zijn geanonimiseerd. De technieken zijn actueel.

De opzet: infrastructuur waarin de fraudeur investeert

Een serieuze multi-accounter runt een kleine infrastructuur:

• Een abonnement op residentiële proxy's — meestal 911.re, IPRoyal of Smartproxy — die roterende IP's in tientallen landen leveren. Kosten: $50–200 per maand.

• Een antidetect-browser — Multilogin, Dolphin Anty, GoLogin, Kameleo of AdsPower. Elk van deze tools draait geïsoleerde browserprofielen met onafhankelijk geconfigureerde fingerprints. Kosten: $50–150 per maand.

• Een voorraad verouderde identiteiten — ofwel gekocht op forums (bundels met geverifieerde e-mail + telefoon + documentscan) of gegenereerd. Kosten: $5–30 per identiteit.

• Betaalinfrastructuur — prepaidkaarten, cryptovaluta-wallets of money mules om winsten te ontvangen zonder samenhangende accountsporen.

Totale maandelijkse overhead: $200–500. Bij $84.000 aan onttrokken waarde over 6 maanden is de ROI 20–30x.

De levenscyclus van één frauduleus account

Elk synthetisch account volgt een vergelijkbaar patroon:

1. Er wordt een antidetect-browserprofiel opgestart met een verse fingerprint (canvas, WebGL, tijdzone, taal, schermresolutie).

2. Er wordt een residentiële proxy toegewezen — meestal uit een land dat overeenkomt met de identiteitsdocumenten.

3. Registratie voltooid met een verouderde identiteit: e-mail, telefoonverificatie via een sms-doorstuurdienst, upload van een gestolen of gegenereerd identiteitsbewijs.

4. KYC slaagt — omdat de identiteitsdocumenten echt (gestolen) of professioneel vervalst zijn.

5. Kleine storting gedaan — vaak $10–30 — om de welkomstbonus te activeren.

6. De bonus wordt uitgespeeld met specifieke spelkeuzes die de verwachte waarde tegen de inzetvereiste maximaliseren.

7. Winsten opgenomen naar de betaalmethode die aan de identiteit is gekoppeld.

8. Het account wordt verlaten of verkocht.

De hele cyclus duurt 2–7 dagen. Een professionele operator draait 20–40 accounts tegelijk in verschillende stadia van deze pijplijn.

Wat de operator zag

Het fraudeteam van het iGaming-platform merkte in Q2 anomalieën op:

• De bonusuitbetalingsratio op nieuwe accounts steeg van 47% naar 63% kwartaal-op-kwartaal.

• Chargebacks bleven laag — wat betekent dat het niet om gestolen kaarten ging. De fraude was structureel, niet transactioneel.

• Supporttickets van terugkerende spelers die hun eigen accountgeschiedenis niet herkenden, namen toe.

Het team vermoedde multi-accounting, maar had niet de tooling om het op schaal te bewijzen. Elk account leek op zichzelf bekeken legitiem. Andere namen, andere IP's, andere fingerprints, andere documenten.

Wat de signalen daadwerkelijk lieten zien

Toen device-intelligence-signalen met terugwerkende kracht op de accountpopulatie werden toegepast, vielen 217 accounts samen tot één enkele operator. Dit is wat ze met elkaar verbond.

Signaal 1. Hergebruik van TLS-fingerprints

Ondanks verschillende IP's en verschillende browser-fingerprints deelden 217 accounts slechts 3 unieke JA4-hashes. De TLS-fingerprint wordt gegenereerd door de clientbibliotheek — en hoewel de antidetect-browser canvas en WebGL kon spoofen, gebruikte hij één onderliggende Chromium-build voor de TLS-handshakes. Drie JA4-hashes kwamen overeen met drie versies van de antidetect-browser waar de operator doorheen upgradede.

Signaal 2. Gedragstiming over sessies heen

De 217 accounts hadden registratietijden die geclusterd waren in smalle vensters: voornamelijk 09:00–11:00 UTC op weekdagen. Echte spelers registreren zich over de volledige 24-uurscyclus. De menselijke werkuren in één tijdzone verraadden de operator, ongeacht welke tijdzone elk nepprofiel claimde.

Signaal 3. Bonus-speelpatronen

De inzetstrategie over de accounts heen was vrijwel identiek: dezelfde spelkeuze (specifieke slots met lage variantie), dezelfde inzetgrootte ten opzichte van de bonus, dezelfde sessieduur voordat een opnameverzoek werd gedaan. Echte spelers hebben enorm uiteenlopende voorkeuren. Statistische uniformiteit over accounts heen is alleen mogelijk met een script of een draaiboek.

Signaal 4. Micro-patronen in muisbewegingen

Antidetect-browsers spoofen visuele fingerprints, maar spoofen niet hoe een mens zich door een sessie beweegt. De muissporen over de 217 accounts hadden gedeelde kenmerken — bézierkrommen met consistente versnellingsprofielen, specifieke patronen van terugkeren naar dezelfde coördinaten vóór klikken. Allemaal geproduceerd door de automatisering van de operator.

Signaal 5. Clustering van betaalendpoints

Ondanks verschillende namen op de accounts liepen opnames via 8 unieke cryptovaluta-wallets. Wallet-hergebruik over ogenschijnlijk niet-gerelateerde accounts is een van de sterkste beschikbare signalen en vereist geen enkele detectie op apparaatniveau.

Signaal 6. Inconsistenties in font-enumeratie

De antidetect-browser spooft fontlijsten, maar alleen uit een vooraf ingestelde bibliotheek. Alle 217 accounts rapporteerden font-enumeraties uit een beperkte pool van 5 templates. Echte gebruikers hebben unieke combinaties van geïnstalleerde fonts. De templates werden betrapt omdat hun diversiteit te laag was.

Signaal 7. Clustering van WebGL-renderers

De antidetect-browser roteert GPU-strings, maar uit een vaste set — meestal de 20–30 meest voorkomende consument-GPU's. Over 217 accounts verschenen GPU-strings met een onwaarschijnlijke verdeling: zware oververtegenwoordiging van specifieke Intel- en NVIDIA-modellen, zonder enige vertegenwoordiging van AMD-hardware. Echte gebruikerspopulaties hebben een bredere GPU-verdeling.

Signaal 8. Niet-standaardisatie van schermresoluties

Antidetect-browsers genereren schermafmetingen, maar vaak met niet-standaard resoluties om uniek te lijken. Echte schermen zijn 1366×768, 1920×1080, 2560×1440, 3840×2160 of een handvol laptopformaten. De 217 accounts bevatten afmetingen zoals 1892×1063 die geen enkel echt scherm gebruikt.

Signaal 9. Sessie-overlap tussen accounts

Twee accounts logden binnen milliseconden van elkaar in vanaf hetzelfde IP, maar vanuit verschillende antidetect-profielen. Sessielogs onthulden dat wanneer het ene account uitlogde, een ander binnen enkele seconden inlogde — vanaf een ander IP maar met detecteerbare verbindingskenmerken die ze aan elkaar koppelden. De proxypool roteerde, maar de handelingen van de operator niet.

Signaal 10. Correlatie van stortingsbronnen

Cryptovalutastortingen op de accounts kwamen van 12 bronwallets. Blockchain-analyse toonde aan dat deze 12 wallets werden gevoed vanuit één enkel upstream-exchange-account. Follow-the-money-analyse verbond het hele cluster.

Signaal 11. Taalpatronen in supporttickets

Sommige accounts openden supporttickets gedurende de 6 maanden. De taalpatronen — specifieke formuleringen, grammaticale eigenaardigheden, spelfouten van dezelfde woorden — werden gedeeld over accounts die geregistreerd waren in verschillende landen en met verschillende taalinstellingen.

Waarom losse signalen falen

Elk van deze signalen op zichzelf kan toeval zijn. Twee accounts met dezelfde TLS-fingerprint kunnen twee gebruikers zijn op dezelfde versie van Chrome. Twee accounts met vergelijkbare muissporen kunnen twee spelers zijn die op dezelfde manier klikken. Twee opnames naar dezelfde wallet kunnen een gedeelde familiewallet zijn.

De kracht zit in de combinatie. Wanneer 217 accounts TLS-fingerprints, wallet-endpoints, font-templates, schermresoluties, muispatronen en gedragstiming delen — stort de kans op onafhankelijkheid in tot nul.

Wat het platform deed

Na de retroactieve analyse implementeerde het platform realtime scoring bij accountaanmaak. Elk nieuw account kreeg een gelijkeniscore ten opzichte van bestaande accounts op basis van de 11 signalen plus nog 40 andere. Boven de drempel werden accounts gemarkeerd voor handmatige review voordat ze in aanmerking kwamen voor een bonus. Onder de drempel gingen accounts normaal door.

Binnen 60 dagen keerde de bonusmisbruikratio terug naar het basisniveau. De operator verhuisde ofwel naar een ander platform of investeerde aanzienlijk meer in zijn infrastructuur — beide uitkomsten waren een winst.

Het patroon generaliseert

De specifieke tooling verandert. De signalen evolueren. Maar de onderliggende dynamiek — professionele fraude-operators die infrastructuur bouwen om waarde te onttrekken aan genereuze acquisitieprogramma's — is stabiel over iGaming, crypto-exchanges, promotie-zware fintech en elk platform dat betaalt voor gebruikersacquisitie.

De enige verdediging die werkt is signaalcorrelatie op platformniveau. Perimeterverdediging (IP-blokkades, apparaatblokkades, single-accountregels) faalt omdat de operators eromheen optimaliseren. Signaalcorrelatie slaagt omdat operators niet alles goedkoop kunnen randomiseren — de kosten van echte onafhankelijkheid per account overstijgen de uitbetaling per account.

Dat gat is wat het opsporen van multi-accounting economisch haalbaar maakt. Het is ook wat het een spel maakt dat de verdediger kan winnen.