Not your keys, not your coins? Klopt deze bekende Bitcoin uitspraak nog wel na hack bij Coldcard?

De grote hack bij hardwarewallet Coldcard heeft bitcoiners aan het denken gezet. Deze zaak is namelijk anders dan veel eerdere cryptohacks. De slachtoffers hadden hun Bitcoin niet bij een derde partij zoals een beurs laten staan, maar beheerden zelf hun digitale sleutels. Toch konden aanvallers hun wallets leegtrekken. Is zelf bewaren dan nog altijd de veiligste keuze?

Aan de gebruikers ligt het niet

Bij veel cryptohacks is vaak achteraf een duidelijke fout aan te wijzen. Iemand klikte op een verkeerde link, deelde zijn herstelwoorden of liet zijn crypto achter bij een onbetrouwbare beurs.

Bij Coldcard ligt dat anders. Veel slachtoffers kochten juist een hardwarewallet omdat zij hun Bitcoin zo veilig mogelijk wilden bewaren. Ze hielden hun geheime woorden offline en bewaarden hun apparaat soms zelfs in een kluis. Toch ging het mis, omdat bepaalde Coldcard-apparaten herstelzinnen maakten met te weinig willekeur. Daardoor konden aanvallers mogelijke combinaties sneller raden.

De gebruikers deden dus grotendeels wat jarenlang werd geadviseerd. Koop een hardwarewallet, schrijf je woorden op papier en laat deze nooit met het internet in aanraking komen. Het probleem zat niet bij hen, maar in de software waarop zij vertrouwden.

Dat maakt de bekende uitspraak ‘not your keys, not your coins’ ineens een stuk minder zwart-wit. Deze zin betekent dat jouw Bitcoin pas echt van jou is wanneer jij zelf de digitale sleutels beheert. Laat je de munten op een beurs staan, dan moet je erop vertrouwen dat die partij ze goed bewaart.

Maar ook wanneer je alles zelf regelt, verdwijnt vertrouwen niet volledig. Je moet nog altijd vertrouwen op de fabrikant van je hardwarewallet, de programmeurs die de software schrijven en de beveiligingsonderzoekers die de code controleren.

Veel mensen wijzen nu naar Ledger of Trezor als veilig alternatief. Misschien zijn die apparaten inderdaad beter beschermd tegen dit specifieke probleem. Toch weet de gemiddelde gebruiker dat niet zeker. Coldcard stond een week voor de hack ook bekend als een van de veiligste hardwarewallets op de markt.

Opvallend genoeg was de software van Coldcard inzichtelijk en controleerbaar. Toch bleef de fout jarenlang onopgemerkt. Dat laat zien dat open code alleen geen garantie biedt. Iemand moet de code ook daadwerkelijk grondig controleren en begrijpen.

AI verandert het spel

Het is niet bewezen dat kunstmatige intelligentie bij deze aanval is gebruikt. Onderzoekers houden er wel rekening mee dat slimme software kan hebben geholpen bij het vinden of misbruiken van de fout.

Kunstmatige intelligentie kan enorme hoeveelheden code veel sneller bekijken dan een mens. Daardoor kunnen aanvallers zwakke plekken vinden die jarenlang verborgen bleven. Dezelfde technologie kan gelukkig ook door beveiligingsexperts worden gebruikt om fouten eerder te ontdekken.

Voor gewone beleggers ontstaat zo een vreemd gevecht. Aan de ene kant gebruiken criminelen steeds betere technieken om wallets aan te vallen. Aan de andere kant proberen beveiligers die aanvallen voor te blijven.

De meeste mensen kunnen zelf niet beoordelen wie er wint. Zij kunnen geen computercode lezen en weten weinig van cryptografie. Uiteindelijk moeten zij dus alsnog vertrouwen op de technologie en de mensen die deze hebben gebouwd.

Zelf bewaren is ingewikkelder dan het klinkt

Zelf Bitcoin bewaren klinkt eenvoudig. In de praktijk moet je rekening houden met herstelwoorden, extra wachtwoorden, software-updates, veilige back-ups en het controleren van ontvangstadressen.

Maak je één fout, dan is er geen klantenservice die je geld kan terughalen. Ook je familie moet weten wat er met je Bitcoin moet gebeuren wanneer jij onverwacht overlijdt.

Zelfs ervaren bitcoiners kunnen hierdoor overweldigd raken. Voor de gemiddelde belegger, die vooral iedere maand een klein bedrag wil kopen, is de drempel nog veel hoger.

Dat maakt de vraag naar massale adoptie lastig. Als mensen eerst alles over wallets, geheime woorden en digitale handtekeningen moeten leren, blijft Bitcoin voor een grote groep te ingewikkeld.

De alternatieven zijn ook niet perfect. Je kunt Bitcoin bewaren op een handelsplatform of investeren via een beursfonds. Daarmee geef je een deel van de controle uit handen en moet je opnieuw vertrouwen op een bedrijf. Het verschil is dat je die verantwoordelijkheid bewust overdraagt aan specialisten.

Dan maar vertrouwen op experts?

Een partij als BLOX neemt het technische beheer van crypto uit handen. Gebruikers hoeven geen herstelzin te bewaren, geen firmware te installeren en niet zelf te controleren of een hardwarewallet veilig genoeg is.

BLOX heeft meer dan tien jaar ervaring in de cryptowereld en beschikt over een MiCAR-vergunning van de Autoriteit Financiële Markten. Het bedrijf staat hierdoor onder toezicht en moet voldoen aan Europese regels rond veiligheid, transparantie en consumentenbescherming.

De crypto wordt opgeslagen via geavanceerde opslagmethoden, waaronder cold storage en multisig. Bij multisig zijn meerdere digitale handtekeningen nodig om toegang te krijgen tot de munten. Hierdoor hangt de beveiliging niet af van één apparaat of één geheime sleutel.

Gebruikers kunnen hun account extra beveiligen met tweefactorauthenticatie. Daarnaast kunnen euro’s alleen worden overgemaakt naar de persoonlijke bankrekening die aan het account is gekoppeld. Een aanvaller kan het geld daardoor niet zomaar naar een willekeurige rekening sturen.

Bij een Beheerd Account worden de crypto en eurotegoeden bovendien via een aparte stichting bewaard. De tegoeden staan daardoor los van de normale bedrijfsactiviteiten van BLOX.

Het belangrijkste voordeel blijft misschien wel het gemak. Kopen, verkopen en je portefeuille bekijken gebeurt in één Nederlandstalige app. Je hoeft geen technisch expert te worden om Bitcoin te bezitten.

Dat betekent niet dat een cryptoplatform zonder risico is. Je verplaatst het vertrouwen alleen van jezelf en een hardwarefabrikant naar een professionele partij. Het verschil is dat daar een team van beveiligingsexperts, jarenlange crypto-ervaring en toezicht tegenover staan.

‘Not your keys, not your coins’ blijft dus technisch gezien kloppen. Alleen betekent het niet automatisch dat iedereen zijn sleutels zelf moet beheren. Voor ervaren bitcoiners kan zelf bewaren een uitstekende oplossing zijn. Voor veel gewone beleggers is professionele bewaring waarschijnlijk veiliger, eenvoudiger en vooral een stuk minder stressvol.