Aanvallen op Coldcard en Ledger roepen vragen op over de veiligheid van hardware wallets

​Twee grote beveiligingsincidenten rond Coldcard en Ledger hebben het vertrouwen in hardware wallets voor cryptocurrency aangetast. De aanvallen hebben kwetsbaarheden blootgelegd in apparaten die lange tijd werden beschouwd als een van de veiligste manieren om Bitcoin op te slaan. Peter Todd, Jack Mallers en andere prominente figuren uit de sector vragen zich nu af of speciale hardware wallets de risico’s wel waard zijn, of dat alternatieve benaderingen betere bescherming bieden.

2026 is waarschijnlijk het slechtste jaar ooit voor beveiligingsincidenten rond Bitcoin. Dat komt niet per se door de hoeveelheid Bitcoin die verloren is gegaan, maar door de impact van twee van de zwaarste aanvallen van het jaar op wat lange tijd als de gouden standaard voor crypto-opslag werd beschouwd: hardware wallets. Experts op het gebied van custody vragen zich nu openlijk af of cryptospecifieke hardware überhaupt zinvol is, terwijl anderen erop wijzen dat ze al jaren hun bedenkingen over deze apparaten delen. Natuurlijk stellen velen ook dat het volledig afschaffen van hardware wallets een overdreven reactie zou zijn.

Ter herinnering: Coinkite maakte deze zomer bekend dat een firmwarebug die terugging tot 2021 ertoe leidde dat sommige Coldcard-apparaten seeds met zwakke willekeurigheid genereerden, waardoor aanvallers offline private keys konden reconstrueren en tegoeden konden wegsluizen. Gebruikers hadden de firmware van één leverancier vertrouwd voor de meest basale taak van een wallet: het genereren van een willekeurig geheim, zonder eenvoudige manier om te weten dat dit was mislukt.

Deze maand bevestigde Ledger vervolgens dat aanvallers echte apparaten hadden geopend en voorzien van aangepaste implantaten die tijdens de installatie recovery phrases van het scherm lazen en via een mobiele verbinding verstuurden. De beveiligde chip van Ledger was nooit gekraakt; het probleem was dat niemand eenvoudig kon vaststellen of het apparaat in hun handen hetzelfde was als het apparaat dat de fabriek had verlaten, zonder wijzigingen.

Schattingen van derden plaatsen de schade van zowel de supply-chainaanval op Ledger als het Coldcard-incident boven de $100 miljoen, wat duidelijk maakt waarom er in de cryptowereld zoveel paranoia bestaat over het veilig bewaren van tegoeden.

De problemen gaan verder dan Coldcard en Ledger

Jack Mallers, CEO van Strike, zette onlangs in zijn show verschillende algemene nadelen van hardware wallets uiteen. "Hardware wallets zijn naar mijn mening riskanter dan de markt of het grote publiek lijkt te denken," zei hij. Hij voegde eraan toe: "Er is gewoon veel impliciet vertrouwen nodig in bijvoorbeeld de verzending van een apparaat waaraan niet is geknoeid, en in de supply chain. Er zijn zoveel partijen bij betrokken."

Bekijk bericht op X Laden...

De tweet is verwijderd door de auteur.

Maar we hebben alles opgeslagen 🙂.

Mallers merkte ook op dat open-source firmware nog steeds voldoende reviewers nodig heeft om betrouwbaar te zijn. Daarbij stelde hij de relatief kleine groep bijdragers aan Coldcard tegenover de veel grotere groep rond Bitcoin Core. Volgens hem kan de aankoop van een hardware wallet ook de e-mail- en verzendadressen van klanten blootleggen als leveranciers of hun partners te maken krijgen met datalekken. Hij wees daarbij op eerdere datalekken met klantgegevens bij Ledger en een recent incident bij de verzendpartner van Trezor.

"Nu weten hackers waar je woont en zie je fysieke aanvallen op mensen," zei hij, wijzend op de toename van "$5 wrench"-aanvallen op cryptobezitters in de afgelopen paar jaar.

Universele hardware versus cryptospecifieke apparaten

Een potentiële zwakte van hardware wallets is precies wat ze nuttig maakt: ze zijn gebouwd voor één doel. Wie er een koopt, geeft aan mogelijk waardevolle private keys te bewaren, waardoor deze apparaten aantrekkelijke doelwitten worden voor supply-chainaanvallen.

Bitcoin Core-bijdrager Peter Todd vermijdt ze om die reden al lange tijd. "Persoonlijk gebruik ik geen hardware wallets," schreef hij op X. "Ik vertrouw op de beveiliging van @QubesOS in combinatie met universele hardware (bijvoorbeeld ThinkPad-laptops en Raspberry Pi's) die ik anoniem heb gekocht."

Todd stelde dat generieke hardware veel moeilijker te targeten is, omdat een aanvaller een enorm aantal apparaten zou moeten compromitteren om de kleine groep apparaten die voor crypto wordt gebruikt te treffen. "Generieke hardware is een enorme verbetering ten opzichte van hardware wallets, omdat een aanvaller veel meer apparaten van een backdoor moet voorzien om een nichetoepassing aan te vallen," voegde hij eraan toe. "Misschien slaat slechts 1 op de 100 laptops of Raspberry Pi's ooit cryptocurrency op."

Bekijk bericht op X Laden...

De tweet is verwijderd door de auteur.

Maar we hebben alles opgeslagen 🙂.

Dit is natuurlijk geen nieuw standpunt van Todd. Hij en anderen voeren dit argument al minstens 8 jaar aan. Mallers maakte in zijn show een vergelijkbaar punt. Daarnaast suggereerde hij dat Bitcoin Core op een offline laptop voldoende kan zijn voor langetermijnhouders, terwijl hardware wallets logischer zijn voor mensen die vaker transacties moeten ondertekenen.

Dat gezegd hebbende, waarschuwde Zach Herbert, CEO van Foundation, op X dat DIY-hardware ook geen wondermiddel is. "Hoe lang duurt het voordat verkopers op Amazon Raspberry Pi's en andere ontwikkelborden aanpassen in de hoop dat iemand ze gebruikt voor de opslag van Bitcoin of crypto?" vroeg hij.

Bekijk bericht op X Laden...

De tweet is verwijderd door de auteur.

Maar we hebben alles opgeslagen 🙂.

Het argument vóór hardware wallets

Niet iedereen is al bereid hardware wallets op te geven. Coinkite heeft zijn transparante behuizing verdedigd als een manier waarop gebruikers verwisselde onderdelen of implantaten kunnen herkennen. Ledger heeft zijn incident ondertussen neergezet als een aanval op de distributie, en niet als een probleem met zijn beveiligde chip of besturingssysteem. Ledger zegt ook dat zijn aankomende apparaat, de Ledger Atom, bescherming zou hebben geboden tegen het specifieke type exploit dat bij de supply-chainaanval werd gebruikt.

Anderen stellen dat hardware wallets veiliger kunnen worden gemaakt door seeds met dobbelsteenworpen te genereren in plaats van te vertrouwen op de willekeurigheid van het apparaat. "Daarom is je eigen entropie aanleveren de veiligste en eenvoudigste aanpak," schreef Shinobi, technisch en opiniërend redacteur bij Bitcoin Magazine, op X.

Bekijk bericht op X Laden...

De tweet is verwijderd door de auteur.

Maar we hebben alles opgeslagen 🙂.

Herbert heeft opgeroepen tot actieve fysieke detectie van manipulatie en betrouwbaardere productie. Todd wees op verzendmethoden die manipulatie zichtbaar maken, zoals Entropy Seal, als een oplossing die Ledger had moeten gebruiken. Herbert wees ook op een andere manier om de risico’s te verkleinen. "Multisig zou je hier hebben beschermd, maar ik weet niet zeker of een passphrase dat zou hebben gedaan," schreef hij.

Bekijk bericht op X Laden...

De tweet is verwijderd door de auteur.

Maar we hebben alles opgeslagen 🙂.

Dat is het argument voor multisig met meerdere leveranciers, waarbij sleutels worden verspreid over apparaten van verschillende fabrikanten, zodat één gecompromitteerd apparaat geen tegoeden kan verplaatsen. Volgens Ivy Galindo, hoofd groeimarketing bij BitGo, was geen van de Bitcoin die bij de Coldcard-exploit of de aanval op de Ledger-wederverkoper werd gestolen afkomstig uit een multisig-opstelling.

"Multisig met meerdere leveranciers beschermt je tegen supply-chainaanvallen," schreef Casa-medeoprichter Jameson Lopp eveneens. Hij merkte op dat Casa-gebruikers geen gevolgen ondervonden van de aanval op Ledger. Assisted-custodyproviders zoals Casa en Unchained bieden dergelijke opstellingen aan voor gebruikers die hulp willen bij het beheer ervan zonder de controle over hun sleutels volledig uit handen te geven.

Bekijk bericht op X Laden...

De tweet is verwijderd door de auteur.

Maar we hebben alles opgeslagen 🙂.

Persoonlijke verantwoordelijkheid is moeilijk uit te besteden

De incidenten van dit jaar zouden cryptobezitters ertoe moeten aanzetten opnieuw te kijken naar de manier waarop ze hun Bitcoin en andere digitale activa beveiligen. De les is niet per se dat hardware wallets nutteloos zijn, maar dat geen enkel apparaat of bedrijf blind vertrouwen verdient.

Bekijk bericht op X Laden...

De tweet is verwijderd door de auteur.

Maar we hebben alles opgeslagen 🙂.

De trieste realiteit is dat sommige mensen misschien beter blootstelling aan Bitcoin kunnen krijgen via een ETF of een Bitcoin treasurybedrijf als ze hun coins niet zelf veilig kunnen bewaren en niemand hebben die ze vertrouwen om hen daarbij te helpen. Dat is een moeilijke boodschap in een systeem dat juist is ontworpen om vertrouwde derden overbodig te maken. Zoals Paul Sztorc, oprichter en CEO van LayerTwo Labs, op X schreef: "Het is moeilijk om persoonlijke verantwoordelijkheid uit te besteden."