E-doping anno 2026: De hack werkt nog steeds, maar de regels worden strenger

In 2019 liet een cybersecurity-adviseur zien hoe je met een Xbox-controller en wat standaardhardware Zwift compleet voor de gek kunt houden. Sindsdien is er veel veranderd in de virtuele wielersport. En toch ook weer niet.

Datastream manipuleren

Stel je voor: je kijkt naar een live-uitzending van een WK-kwalificatierace op Zwift. Bijna 6.000 mensen volgen de wedstrijd mee. Dan, vanuit het peloton, breekt een zekere Eddy Hoole weg bij de voet van de slotklim. Hij rijdt iedereen de grond in. De commentatoren slaan stijl van verbazing. "Dat is een van de beste inspanningen die ik ooit heb gezien op Zwift", roept een van hen uit. Het was inderdaad indrukwekkend. Alleen: Hoole trapte helemaal niet zo hard. Hij manipuleerde zijn datastream.

ZADA, de interne Zwift-handhavingsorganisatie, stelde vast dat de Zuid-Afrikaan gemiddeld 526 watt had geleverd over vier minuten en zestien seconden. Omgerekend naar zijn gewicht: 8,5 watt per kilogram. Dat vereist een VO2max van meer dan 90 ml/min/kg. Ter vergelijking: olympische achtervolgers en Tour-winnaars halen zelden boven de 85 à 87. En Hoole, zo noteerde ZADA droogjes, had geen enkel trackrecord in de echte wielersport dat ook maar in de buurt komt.

De uitkomst: zes maanden ban, ontslag bij zijn team Toyota CRYO RDT, schorsing van de wielerbond van Zuid-Afrika. Daarna probeerde hij het op concurrent MyWhoosh. Binnen no time ook daar geschorst, nadat mederijders hem herkenden op het platform en alarm sloegen.

>>> Wil je op de hoogte blijven van het belangrijkste fietsnieuws? Schrijf je dan hier in voor onze wekelijkse nieuwsbrief met maandagochtend om 09.00 de top 5 artikelen.

De hack van 2019 is nog steeds mogelijk

Wie het originele artikel uit 2019 herleest, ziet dat de kern van het probleem niet is opgelost. Cybersecurity-adviseur Brad Dixon demonstreerde toen op de DEF CON-conferentie hoe hij met een BeagleBone Black-bordje een "man-in-the-middle"-aanval uitvoerde op de USB-communicatie tussen zijn ANT+-dongel en de computer. De trainer stuurde vermogensdata, cadans en hartslag naar Zwift. Dixon onderschepte die data en stuurde andere getallen door.

Die architectuur bestaat nog steeds. ANT+ via USB is nog altijd de standaard voor de meeste smarttrainers. De aanval vergt wat technische kennis en specifieke hardware, maar is beschreven in publiek toegankelijke presentaties. Wie wil, kan het doen.

Daarboven op komt een nog eenvoudigere methode: gewoon liegen over je gewicht. Minder gewicht betekent hogere snelheid in Zwift, vooral in de klimmen. Dit soort "gewichtsdoping" is in reguliere trainingsraces vrijwel niet te controleren.

>>> Lees ook: Verliefd zijn is betere doping dan EPO (en nog legaal ook)

Wat ZADA wel en niet doet

Zwift beschikt over ZADA, voluit Zwift Accuracy and Data Analysis. Die organisatie vergelijkt prestaties van renners met hun historische data. Wie plotseling wattages rijdt die ver buiten zijn normale profiel liggen, valt op. Bij officiële evenementen zijn twee onafhankelijke vermogensbronnen verplicht, zodat er een tweede datapunt bestaat om te vergelijken.
Het grote voordeel: alle rijdata wordt permanent opgeslagen op Zwift-servers. Er is geen weg terug voor wie ooit gemanipuleerde data heeft ingestuurd.

Het grote nadeel: ZADA richt zich bewust op hoge-profielevenementen. Wie gewoon een doordeweekse clubrace rijdt, hoort nooit iets van handhaving. Voor de grote meerderheid van Zwift-wedstrijden geldt feitelijk een ereregeling.

>>> Lees ook: Warmte-adaptatie: Zo leer je presteren in de hitte

MyWhoosh gaat verder dan Zwift

Het interessantste nieuws van 2026 komt niet van Zwift zelf, maar van concurrent MyWhoosh. Dat platform, inmiddels de thuisbasis van de UCI Esports World Championships, heeft deze maand als eerste virtuele fietsplatform ter wereld biologische dopingcontroles ingevoerd voor zijn prijzengeldwedstrijden.

Vanaf 17 mei 2026 worden geselecteerde renners in de Sunday Race Club willekeurig of gericht getest. Ze moeten na afloop van een race tot drie uur beschikbaar blijven op hun opgegeven locatie voor urine, veneus bloed of dried blood spot-monsters. De testing wordt uitgevoerd door International Doping Tests and Management, een organisatie die al sinds 1991 WADA-georiënteerde dopingcontroles uitvoert.

Wie weigert mee te werken, zijn locatie niet correct opgeeft of een monster saboteert, riskeert diskwalificatie, terugvordering van prijzengeld en een platformschorsing. Het prijzengeld is geen kleinigheid: in de Sunday Race Club gaat per evenement tot ruim 2.000 euro naar de winnaar, met een jaarlijkse totaaluitkering van meer dan vijf miljoen dollar.

MyWhoosh-directeur Matt Smithson was daarbij opvallend eerlijk tegenover The Guardian. Zijn eigen woorden: "Als iemand valsspeelt, is het waarschijnlijk mechanisch vals spelen." De bloedcontroles zijn dus niet de primaire maatregel tegen e-doping in de technische zin, maar laten zien dat het platform de sport serieus neemt.

>>> Lees ook: 1.000.000 dollar te verdienen in nieuwe editie van de MyWhoosh Championships

Zwift blijft terughoudend

Zwift zelf houdt biologische dopingcontroles vooralsnog buiten de deur voor alledaagse wedstrijden. Het officiële standpunt: een volledig antidopingprogramma past niet bij een platform waarvan de gebruikers grotendeels recreatief fietsen. Voor de UCI Esports World Championships geldt via de International Testing Agency al biologische testing, maar daarboven doet Zwift het met ZADA.

Onderzoekers van de Teesside University concludeerden al in 2022 in het International Journal of Esports dat Zwifts antidopingbeleid tekortschiet in het beschermen van de gezondheid van renners en het garanderen van eerlijkheid. Die conclusie geldt voor gewone races nog steeds.

De paradox van e-sports

Virtuele wielrenners staan voor een merkwaardige situatie. Aan de bovenkant van het veld, bij UCI-gesanctioneerde evenementen, zijn de controles strenger geworden dan velen verwacht hadden: historische dataanalyse, twee verplichte vermogensbronnen, biologische dopingtests, zelfs whereabouts-verplichtingen voor de WK-deelnemers.

Aan de onderkant, in de duizenden reguliere races die elke week op Zwift worden gereden, is vrijwel niets veranderd ten opzichte van 2019. De technische kwetsbaarheid bestaat nog. Gewichtsfraude is nauwelijks te detecteren. En wie een beetje wil frauderen, kan dat waarschijnlijk doen zonder ooit opgemerkt te worden.

Het enige echte tegenmiddel is om jezelf te schamen. Wie met gehackte data 8,5 watt per kilogram rijdt voor een live-publiek van 6.000 mensen, valt nu eenmaal op.

Bronnen: road.cc, DC Rainmaker, Cycling News, BikeRadar, Escape Collective, The Guardian, International Journal of Esports (Teesside University)