Mobiele apps
Er is geen officiële TradeOgre-app voor Android en die is er nooit geweest. Op Android is het plaatje iets ingewikkelder dan op iOS, en iets gevaarlijker. TradeOgre bracht ook geen officiële Android-client uit, maar Android staat installatie van buiten de Play Store toe. Daardoor werd het gat opgevuld door apps van derden en, onvermijdelijk, door APK-bestanden die vanaf websites werden verspreid. Die tweede categorie richt de echte schade aan, en dat gebeurt nog steeds nu de beurs zelf verdwenen is.
De korte versie
Er was geen officiële TradeOgre-app voor Android. Er stonden wel clients van derden in Google Play, gebouwd op de openbare API door onafhankelijke ontwikkelaars zonder band met de beurs. Sinds de inbeslagname van het platform in september 2025 kan geen van die apps nog verbinding maken met iets, en elke nieuwe app of APK die de naam gebruikt moet je als malware behandelen.
De technieken die worden gebruikt tegen Android-gebruikers van crypto-apps, en de verdediging die tegen elk ervan werkt. Geen van deze is theoretisch.
Een site biedt een “TradeOgre APK” aan als directe download, vaak hoog scorend voor zoekopdrachten naar de app. Het bestand installeert een app die er goed uitziet en inloggegevens oogst, of die rechten vraagt waarmee hij alles op je scherm kan lezen.
→ Installeer alleen via de Play Store, bereikt via de eigen website van de beurs. Behandel elke downloadbare APK voor een financiële dienst standaard als vijandig.
De app vraagt toegankelijkheidsrechten “om het gebruiksgemak te verbeteren”. Met die rechten kan hij de inhoud van het scherm lezen en tikken simuleren, en dat is genoeg om een 2FA-code te lezen en een overboeking goed te keuren.
→ Geef een financiële app nooit toegankelijkheidsrechten. Controleer het menu met toegankelijkheidsinstellingen regelmatig en trek alles in wat je niet herkent.
Malware houdt het klembord in de gaten op alles wat op een cryptoadres lijkt en vervangt het door dat van de aanvaller. Jij plakt, het adres ziet er aannemelijk uit en de tegoeden gaan elders heen.
→ Controleer van elk geplakt adres de eerste en laatste tekens aan de hand van de bron, en bevestig bij elke belangrijke overboeking de volledige tekenreeks.
Een kwaadaardige app tekent een nep-inlogscherm over het echte heen. Je typt je gegevens in de overlay terwijl je denkt dat je in de echte app zit.
→ Bekijk welke apps het recht “weergeven over andere apps” hebben en zet dat uit voor alles wat het niet duidelijk nodig heeft.
Een kloon wordt in de Play Store gepubliceerd met de huisstijl van een beurs en een pas aangemaakt ontwikkelaarsaccount, soms lang genoeg onschuldig om de review te doorstaan voordat een update de schadelijke lading toevoegt.
→ Vergelijk de naam van de ontwikkelaar met de entiteit die de beurs zelf publiceert, en zoek naar jaren aan releasegeschiedenis in plaats van een recente eerste versie.
De reden is dezelfde als die TradeOgre uit de App Store hield. Publiceren in Google Play vereist een ontwikkelaarsaccount dat aan een identiteit gekoppeld is, en financiële applicaties krijgen extra verificatie-eisen. Een beurs zonder genoemde exploitant, zonder bekendgemaakt bedrijf en zonder registratie bij een toezichthouder kan dat proces niet doorlopen.
De officiële mobiele ervaring op Android was dus identiek aan die op iOS: de website in een browser. Dat werkte, was responsief genoeg om vanaf te handelen en bood verder niets, dus geen meldingen, geen biometrische ontgrendeling en geen waarschuwingen op de achtergrond.
Wat de platforms onderscheidt is wat er daarna gebeurt. Op iOS betekent een ontbrekende officiële app vooral dat gebruikers het zonder doen. Op Android betekent de mogelijkheid om applicaties van buiten de store te installeren dat een gat in het officiële aanbod wordt opgevuld door wie het maar wil opvullen, en de kwaliteit van wat verschijnt loopt uiteen van echt nuttig open-sourcewerk tot regelrechte malware met dezelfde naam.
Minstens één TradeOgre-client van een derde partij werd in Google Play gepubliceerd door een onafhankelijke ontwikkelaar. Dit soort apps was gebouwd op de openbare API van de beurs, en de eerlijke exemplaren beschreven zichzelf terecht als onofficieel. Ze boden meestal wat de API ondersteunde: marktgegevens, saldooverzichten en soms het plaatsen van orders met een API-sleutel die je zelf aanleverde.
Twee dingen verdienen uitleg bij die opzet, en ze gelden voor elke client van een derde partij voor elke beurs.
Ten eerste is de ontwikkelaar niet de beurs. Als de app je sleutel verkeerd behandelt, als het account van de ontwikkelaar wordt gecompromitteerd, of als de app aan iemand anders wordt verkocht en met ander gedrag wordt bijgewerkt, heeft de beurs geen verplichting jegens jou en kan hij ook niet helpen. Je vertrouwt een individu dat je nooit hebt ontmoet.
Ten tweede hadden de API-sleutels van TradeOgre geen rechtenbeperking en geen IP-beperking, dus elke sleutel waarmee je je saldo kon lezen kon ook handelsorders plaatsen. Er was geen alleen-lezenmodus om te verlenen, waardoor een app voor portfolio-inzage noodzakelijkerwijs volledige handelsbevoegdheid kreeg. Op een platform met afgebakende sleutels is de juiste werkwijze om alleen-lezensleutels uit te geven aan elke tool die alleen hoeft te lezen. Bij TradeOgre bestond die optie niet.
Geen van deze apps werkt nu nog. De endpoints die ze aanriepen reageerden in 2025 niet meer, en een verlaten client die geïnstalleerd blijft staan is in het gunstigste geval nutteloos.
Dat Android installatie van buiten de Play Store toestaat is een echte functie, en voor veel doeleinden een goede. Voor crypto-applicaties is het de grootste bron van verlies.
Een APK die van een website is gedownload heeft geen enkele controle doorlopen. Niemand heeft de identiteit van de ontwikkelaar gecontroleerd, het binaire bestand gescand of nagegaan of de app doet wat de pagina claimt. Het enige dat tussen jou en een kwaadaardige build staat is het waarschuwingsvenster van het besturingssysteem, dat vraagt te bevestigen dat je weet wat je doet, en waar elke gebruiker in deze situatie doorheen klikt omdat hij midden in iets zit dat hij gedaan wil krijgen.
Wat zulke builds doorgaans doen is eenvoudig. Ze tonen een inlogscherm dat de echte dienst nabootst, onderscheppen de inloggegevens en sturen ze direct door. Veel vragen tijdens de installatie ook toegankelijkheidsrechten, voorgesteld als noodzakelijk om de app te laten werken. Met die toestemming kan de app lezen wat er op je scherm staat en met andere applicaties communiceren, genoeg om een eenmalige code te lezen zodra die binnenkomt en een overboeking goed te keuren zonder dat jij het ziet.
De zoekvraag rond een dode beurs maakt dit erger, niet beter. Wie vandaag zoekt naar een TradeOgre-APK is sterk gemotiveerd, vindt waarschijnlijk geen officiële bron die een nepversie tegenspreekt en hoopt vaak juist tegoeden terug te krijgen. Dat komt dicht bij een ideaal doelwitprofiel.
De regel is simpel en kent geen uitzonderingen die de moeite waard zijn: installeer nooit een financiële applicatie vanuit een gedownload bestand.
Een Android-telefoon voor crypto beter beveiligen
Niets hiervan is exotisch, en het kost allemaal minder tijd dan het herstellen van één enkele compromittering.
Sinds september 2025 valt alles wat zich als TradeOgre-app presenteert in een van drie categorieën.
Verlaten clients van derden. Ze staan nog op telefoons en proberen nog steeds endpoints te bereiken die niet meer antwoorden. Op zichzelf onschuldig, maar ze bevatten API-sleutels en moeten worden verwijderd.
Imitatie-apps. Nieuw gepubliceerde klonen met de naam en alle huisstijl die ze kunnen kopiëren, die bestaan om inloggegevens te verzamelen van gebruikers die niet hebben meegekregen dat het platform weg is. Dit is de groeiende categorie.
“Recovery”-apps en -diensten. De meest cynische categorie: applicaties of bots die beloven je te helpen je in beslag genomen saldo te claimen en die persoonlijke gegevens, een vooruitbetaling of een herstelzin (seed phrase) vragen. Geen enkele applicatie kan bij tegoeden die bij een politiedienst berusten, dus elk daarvan is per definitie frauduleus.
Heb je een TradeOgre-gerelateerde app geïnstalleerd, verwijder die dan, trek alle API-sleutels in die erin zaten en wijzig elk wachtwoord dat erin was opgeslagen. Behandel toekomstige zoekresultaten voor die naam daarna als een gevaar in plaats van een bron.
De verificatieprocedure is kort en werkt. Open de website van de beurs in een browser, zoek de eigen link naar de vermelding in de Play Store en volg die. Die ene stap verslaat vrijwel elke imitatie, want een kloon kan zichzelf niet laten linken vanaf de echte site.
Vergelijk op de vermelding de naam van de ontwikkelaar met het bedrijf dat de beurs in zijn voorwaarden of juridische pagina’s noemt. Controleer de releasegeschiedenis: een echte beurs-app heeft jaren aan updates, geen versie 1.0 van vorige maand. Lees de reviews met één ster, die fraude sneller aan het licht brengen dan welk ander signaal ook.
Kijk na de installatie wat de app vraagt. Een legitieme beurs-app heeft netwerktoegang nodig, opslag voor documenten tijdens verificatie en een camera voor het fotograferen van documenten. Hij heeft geen toegankelijkheidsdiensten, sms-toegang, contacten of het recht om over andere apps weer te geven nodig. Elk daarvan is een reden om te stoppen.
En bepaal vooraf hoeveel je überhaupt bereikbaar wilt hebben vanaf een telefoon. Een toestel dat je meedraagt, op openbare netwerken gebruikt en af en toe kwijtraakt is een passende plek voor een handelssaldo, niet voor spaargeld. Bewaar langetermijnbezit in een wallet waarvan de sleutels niet op het toestel in je broekzak staan.
Nee. De beurs heeft er nooit een gepubliceerd. Er verschenen wel clients van derden op de openbare API in Google Play, gepubliceerd door onafhankelijke ontwikkelaars zonder band met TradeOgre, en geen ervan werkt nog nu het platform in beslag is genomen.
Dat kun je beter niet doen. Er is geen officiële APK, en elk bestand dat onder die naam wordt aangeboden is in het gunstigste geval een verlaten build van een derde en in het ergste geval malware die inloggegevens steelt. Installeer nooit een financiële applicatie vanuit een gedownload bestand.
Elke vermelding onder die naam komt niet van de beurs. Oudere clients van derden kunnen sinds de inbeslagname met niets meer verbinden, en nieuw gepubliceerde apps met de naam kun je het best beschouwen als imitaties die bedoeld zijn om inloggegevens te verzamelen.
Op Android kan een app met toegankelijkheidsrechten de inhoud van het scherm lezen en invoer simuleren. Malware vraagt ze aan omdat die mogelijkheid genoeg is om een tweefactorcode te lezen en een overboeking goed te keuren. Geen enkele legitieme beurs-app heeft ze nodig.
Verwijder hem, trek alle API-sleutels in die erin zaten en wijzig elk wachtwoord dat je erin hebt ingevoerd, ook overal waar dat wachtwoord verder wordt gebruikt. Controleer daarna je toegankelijkheidsinstellingen en de rechten “weergeven over andere apps” en trek alles in wat onbekend is.
Open de officiële website van de beurs op je telefoon en volg de eigen link naar de vermelding in de Play Store. Vergelijk de naam van de ontwikkelaar met het bedrijf dat de beurs publiceert en controleer of er een releasegeschiedenis van meerdere jaren is voordat je installeert.