Beveiliging

Crypto veilig bewaren: hot wallet, cold wallet en seed phrase

Je crypto veilig bewaren gaat niet over een ingewikkeld systeem, maar over een paar keuzes die je maar één keer goed hoeft te maken. Hier lees je het verschil tussen een hot en cold wallet en waarom je seed phrase alles is.

Door Christoff Lezaire · Swing Capital · 5M: Management

Het korte antwoord: Crypto veilig bewaren draait om twee keuzes. Een hot wallet is verbonden met internet en handig voor dagelijks gebruik; een cold wallet blijft offline en past bij bezit dat je lang aanhoudt. Je seed phrase is de sleutel tot alles: bewaar hem fysiek, nooit digitaal, en geef hem aan niemand, wie er ook om vraagt.

Wat een wallet eigenlijk is

Een wallet bewaart geen munten zoals een portemonnee muntstukken bewaart. Je munten staan altijd op de blockchain zelf; een wallet bewaart de sleutels waarmee jij bewijst dat die munten van jou zijn en waarmee je ze kunt verplaatsen. Wie die sleutels heeft, heeft de controle — niet degene wiens naam ergens op een account staat. Dat is meteen het grootste verschil met een bankrekening: er is geen instantie die kan bevestigen dat het geld “eigenlijk” van jou is als je de sleutels kwijt bent. Verlies je je sleutels zonder back-up, dan is het bezit niet gestolen, maar wel voorgoed onbereikbaar — niemand kan die toegang voor je herstellen, ook een exchange of wallet-maker niet.

Hot wallet versus cold wallet

Een hot wallet is verbonden met internet: een app op je telefoon of een browserextensie. Handig voor dagelijks gebruik — swappen (de ene munt direct ruilen voor een andere), met DeFi werken (financiële apps op de blockchain, zonder bank ertussen), kleine bedragen verplaatsen — maar doordat hij online is, is hij ook het doelwit van malware, phishing (nepberichten en nepsites die je gegevens willen ontfutselen) en kwaadaardige websites die precies op dat soort wallets gericht zijn.

Een cold wallet (ook wel hardware wallet) is een apart apparaatje dat nooit direct met internet verbonden is. Je sleutels verlaten het apparaat niet; een transactie wordt erop bevestigd zonder dat de sleutel zelf ooit online komt. Dat maakt een cold wallet geschikt voor bezit dat je voor langere tijd wil vasthouden en niet dagelijks aanraakt. Het kost iets meer moeite om er iets mee te doen — je moet het apparaat erbij pakken en een transactie fysiek bevestigen — en die extra stap is precies de reden dat het veiliger is: een aanvaller op afstand kan die fysieke bevestiging niet overnemen.

De vuistregel die de meeste ervaren gebruikers hanteren: kleine, actieve bedragen in een hot wallet, de rest in een cold wallet. Wie ook actief met DeFi-toepassingen werkt, doet er goed aan daarvoor weer een aparte hot wallet te gebruiken, los van de wallet die verbonden is met minder vertrouwde applicaties.

Vier manieren om crypto te bewaren, naast elkaar

Of je het bewaren noemt of opslaan: het komt neer op de vraag wie de sleutels heeft. Dat bepaalt wat er mis kan gaan, en bij wie je aanklopt als het misgaat.

Multisig is een wallet waarvoor meerdere sleutels samen moeten tekenen, bijvoorbeeld twee van de drie, zodat één gestolen of verloren sleutel niet genoeg is. Geen van de vier is in alle opzichten de veiligste. Een hardware wallet beschermt tegen een aanval op afstand, maar niet tegen een seed phrase die in een la ligt waar iedereen bij kan. Een exchange beschermt je tegen je eigen vergissingen, maar niet tegen de exchange zelf.

Crypto op een exchange laten staan

Veel mensen bewaren hun crypto gewoon op de exchange waar ze het kochten. Dat is makkelijk, en voor bedragen die je binnenkort verhandelt ook logisch. Maar het is geen bewaren: je hebt een tegoed bij een bedrijf, en dat bedrijf beheert de sleutels.

Wat dat kan betekenen, liet FTX zien. Die exchange ging in november 2022 failliet, en volgens de Amerikaanse beurswaakhond SEC was er klantgeld doorgesluisd naar een eigen handelsfonds van de oprichter. Klanten konden hun tegoeden van de ene op de andere dag niet meer opnemen. Het ging niet om een hack van hun eigen account; het ging mis bij het bedrijf.

Laat je iets op een exchange staan, kies dan een partij die in Europa een vergunning heeft, en houd er alleen wat je actief gebruikt. Waar je op let bij die keuze, staat in een crypto exchange kiezen.

De seed phrase: het enige dat echt telt

Een seed phrase is een reeks van doorgaans twaalf of vierentwintig woorden die je volledige wallet kan herstellen — op elk apparaat, door wie dan ook. Wie deze woorden heeft, heeft toegang tot alles wat in die wallet zit, zonder wachtwoord of extra controle nodig te hebben. Een wachtwoord op je telefoon of laptop beschermt het apparaat, maar niet de wallet zelf: wie de seed phrase heeft, kan de wallet ergens anders openen zonder dat apparaat ooit aan te raken.

Dat betekent: nooit een foto van je seed phrase, nooit in een notitie-app, nooit in een e-mail of chatbericht, en nooit invullen op een website of tegen iemand aan de telefoon — ook niet als diegene zich voordoet als support van een exchange of wallet. Geen enkele legitieme partij vraagt ooit naar je seed phrase. Schrijf hem op papier of graveer hem in metaal, en bewaar dat fysiek, gescheiden van je apparaten en bij voorkeur op meer dan één plek.

Wil je dit op jouw eigen trades toepassen?Plan een gesprek

Veelgemaakte fouten

• Eén digitale kopie van de seed phrase. Een foto, screenshot of cloudnotitie is voor een aanvaller net zo makkelijk te vinden als voor jou, zeker als dat account ooit gehackt wordt.
• Onbeperkte approvals geven aan een DeFi-app. Een applicatie vraagt soms toestemming om altijd bij een bepaald bedrag te mogen — controleer en beperk dat, en trek oude, ongebruikte rechten regelmatig in via een wallet-checker.
• Grote bedragen in een hot wallet laten staan omdat overzetten naar cold storage “later nog wel kan”, terwijl juist dat uitstel de blootstelling verlengt.
• Eén enkele fysieke kopie van de seed phrase zonder back-up op een andere plek, met het risico van brand, verlies of diefstal van die ene kopie.
• Een cold wallet kopen via een tweedehands marktplaats. Koop hardware altijd rechtstreeks bij de fabrikant of een erkende verkoper; een gemanipuleerd apparaat kan er van buiten precies hetzelfde uitzien.
• Je wallet-software niet up-to-date houden. Updates verhelpen vaak specifieke kwetsbaarheden; een oude versie laten draaien houdt een bekend lek onnodig lang open.

Je account zelf beveiligen

Of je nu een exchange gebruikt of een wallet, de zwakste plek is vaak het account eromheen. Drie dingen die het verschil maken:

• Tweestapsverificatie via een app, niet via sms. Een sms-code kan worden onderschept als iemand je telefoonnummer overneemt. Een authenticator-app of een fysieke sleutel niet.
• Een apart e-mailadres voor je crypto-accounts. Dat adres gebruik je nergens anders, dus het komt ook niet voor in gelekte databases van webwinkels.
• Een lijst met vaste opname-adressen. De meeste exchanges laten je vastleggen naar welke adressen je mag opnemen. Wie in je account komt, kan dan niet zomaar naar een eigen adres sturen.

Wat te doen als je vermoedt dat je wallet is blootgesteld

Merk je dat je seed phrase mogelijk ergens is ingezien — een verdacht bericht waarop je toch hebt gereageerd, een apparaat dat kwijt is geweest, een applicatie die zich achteraf verdacht gedraagt — ga er dan van uit dat de wallet niet meer veilig is, ook als er nog niets zichtbaar is misgegaan. Maak een nieuwe wallet met een nieuwe seed phrase aan en verplaats je bezit daarheen zo snel als mogelijk, in plaats van af te wachten of er daadwerkelijk iets verdwijnt. Wachten geeft een aanvaller alleen meer tijd, terwijl overzetten naar een schone wallet niets kost behalve de gebruikelijke transactiekosten.

Noteer ook wat er precies is gebeurd, zodat je bij een volgende twijfelgeval sneller herkent of iets een herhaling van hetzelfde patroon is. De meeste mensen die een keer zijn benaderd door een phishingpoging, zien daarna vergelijkbare pogingen sneller aankomen, precies omdat ze weten hoe zo'n bericht er in de praktijk uitziet in plaats van alleen in theorie.

Als jij er niet meer bent

Een vraag die bijna niemand stelt: kunnen je nabestaanden bij je crypto? Bij een bank regelt de bank dat. Bij een wallet waarvan alleen jij de seed phrase kent, is het bezit weg als jij er niet meer bent.

De oplossing is niet om je seed phrase aan iemand te geven. Leg wel vast dát je crypto hebt, in welke wallets, en waar de seed phrase ligt — bijvoorbeeld in een verzegelde envelop bij je testament of in een kluis. Zo kan iemand er later bij, zonder dat iemand er nu bij kan.

Wat dit betekent voor hoe je je bezit indeelt

Denk in drie lagen: een klein bedrag in een hot wallet voor dagelijks gebruik en DeFi, een cold wallet voor het grootste deel van je bezit dat je voor langere tijd vasthoudt, en eventueel een bedrag op een exchange dat je actief wil inleggen of verhandelen. Zet je een deel van je bezit ook in, bijvoorbeeld via staking, dan komt daar nog een keuze bovenop: staak je rechtstreeks vanuit je eigen wallet of via een derde partij, en welk risico accepteer je daarmee naast het gewone bewaarrisico.

Hoe je je bezit over deze lagen verdeelt, hangt af van hoe vaak je erbij moet en hoe groot het bedrag is — net als bij het opbouwen van een portfolio, gaat het om een bewuste keuze vooraf, niet om improviseren achteraf wanneer het bedrag al is opgelopen. Neem die keuze serieus zodra je bezit begint te groeien: wat bij een klein bedrag nog te overzien was zonder cold wallet, is dat bij een groter bedrag vaak niet meer, en die overstap uitstellen tot “het echt nodig is” betekent meestal dat je hem te laat maakt, ruim nadat het bedrag al de moeite van extra zorg waard was geworden.

Onze kijk