Wachtwoordmanagers en crypto: wat je opslaat en wat nooit

Een wachtwoordmanager is een goede plek voor je wachtwoorden van exchanges en e-mail, maar niet voor seedzinnen of privésleutels: die moeten offline blijven, want wie ze in handen krijgt, heeft voor altijd controle over je crypto. Goed gebruikt maakt een wachtwoordmanager je crypto-accounts veel veiliger; gebruikt als kluis voor alles kan hij een single point of failure worden.

De meeste cryptodiefstallen beginnen met een overgenomen account of een gestolen geheim, niet met een gekraakte blockchain. Deze gids legt uit hoe aanvallers het op wachtwoordkluizen en de geheimen daarin gemunt hebben, wat je erin opslaat en wat je erbuiten houdt, en wat je doet als er iets misgaat.

Wat je opslaat en wat nooit

Het leidende principe: de wachtwoordmanager beschermt de toegang tot accounts die andere waarborgen hebben (vertraagde opnames, 2FA, supportteams). Een seedzin heeft helemaal geen waarborgen. Lees wat een seedzin is en hoe herstelzinnen werken om te begrijpen waarom.

Hoe aanvallers het op kluizen en geheimen gemunt hebben

Wie de aanvalsroutes begrijpt, begrijpt de regels hierboven:

1. 1Infostealer-malware. Een nep-app, gekraakte software of een kwaadaardige browserextensie kopieert browsergegevens, opgeslagen wachtwoorden en bestanden van je computer. Als je kluis ontgrendeld is, of als je seedzin in een notitie staat, kan die binnen enkele seconden worden buitgemaakt.
2. 2Phishing naar het hoofdwachtwoord. Een nep-inlogpagina of een nepmail met een ‘beveiligingswaarschuwing voor je kluis’ vraagt je in te loggen bij je wachtwoordmanager.
3. 3Datalekken bij de aanbieder. Bedrijven achter wachtwoordmanagers hebben datalekken gehad waarbij versleutelde kluisgegevens werden gekopieerd. Versleuteling beschermt je alleen zolang je hoofdwachtwoord sterk genoeg is om raadpogingen te weerstaan.
4. 4Kaping van het klembord. Malware houdt je klembord in de gaten en vervangt een gekopieerd walletadres door dat van de aanvaller, of onderschept een seedzin die je kopieert.
5. 5Kluizen doorzoeken op trefwoorden. Eenmaal binnen in een kluis zoeken aanvallers naar woorden als ‘seed’, ‘mnemonic’, ‘wallet’ of ‘private key’.

Een hypothetisch voorbeeld

Het volgende is een illustratief, samengesteld voorbeeld, geen echte zaak. Stel je voor dat Alex alles in één wachtwoordmanager opslaat, inclusief een notitie met de titel ‘MetaMask seed’. Alex installeert een gratis extensie als ‘cryptokoerstracker’ die kwaadaardig blijkt te zijn. Die onderschept het hoofdwachtwoord terwijl Alex het intypt en exporteert de kluis. De aanvaller zoekt op ‘seed’, importeert de wallet en haalt hem binnen het uur leeg. Het exchange-account van Alex overleeft het alleen omdat opnames een hardwarebeveiligingssleutel vereisen. Het verschil tussen beide uitkomsten zat in waar elk geheim werd bewaard.

Waarschuwingssignalen dat je kluis of accounts doelwit zijn

• E-mails die je vragen je wachtwoordmanager of exchange-account te ‘verifiëren’ of ‘opnieuw te synchroniseren’.
• Inlogmeldingen of 2FA-verzoeken die je niet zelf hebt veroorzaakt.
• Je wachtwoordmanager weigert automatisch in te vullen op een site waarvan je denkt dat het je exchange is.
• Nieuwe browserextensies waarvan je je niet herinnert dat je ze hebt geïnstalleerd.
• Onverwachte e-mails om het wachtwoord van je e-mailaccount te resetten.

Zo stel je een wachtwoordmanager voor crypto veilig in

1. 1Kies een betrouwbare manager met een gepubliceerd beveiligingsmodel en end-to-end-versleuteling, en download hem alleen via de officiële website of de app store.
2. 2Maak een sterke hoofdwachtwoordzin van meerdere willekeurige woorden die je nergens anders gebruikt, en schrijf hem voor noodherstel op en bewaar hem op een veilige plek.
3. 3Schakel sterke tweefactorauthenticatie in voor de kluis, bij voorkeur een hardwarebeveiligingssleutel of authenticator-app in plaats van sms.
4. 4Genereer unieke wachtwoorden voor elke exchange, elk e-mailaccount en elke cryptodienst. Geef je e-mail voorrang, want daarmee kan al het andere worden gereset.
5. 5Gebruik automatisch invullen als phishingcheck. Als je inloggegevens niet worden aangeboden, controleer dan de URL voordat je iets typt.
6. 6Houd walletgeheimen erbuiten. Bewaar seedzinnen offline. Wil je een geheugensteun in de kluis, noteer dan alleen waar een back-up ligt, niet wat erop staat.
7. 7Vergrendel de kluis automatisch na een korte periode van inactiviteit en wanneer het apparaat in slaapstand gaat.

Voor een bredere routine, zie onze gids over het opzetten van een sterke routine voor cryptobeveiliging en over beveiliging van e-mailaccounts voor cryptogebruikers.

Wat je doet als je kluis is gecompromitteerd

1. 1Ga ervan uit dat elk geheim erin is blootgelegd. Stond er een seedzin in, verplaats je tegoeden dan onmiddellijk naar een nieuwe wallet met een nieuwe seedzin; volg wat je direct moet doen als je wallet is gecompromitteerd.
2. 2Wijzig eerst het wachtwoord van je e-mail, daarna die van de exchanges, vanaf een schoon apparaat.
3. 3Reset tweefactorauthenticatie en trek onbekende sessies en API-sleutels bij exchanges in.
4. 4Controleer de whitelists voor opnameadressen op adressen die je niet zelf hebt toegevoegd.
5. 5Scan of herinstalleer het getroffen apparaat voordat je het weer gebruikt.
6. 6Meld phishingsites en oplichtersadressen bij de betreffende dienst en via ons meldformulier voor oplichting.

Conclusie

Een wachtwoordmanager is een van de beste beveiligingstools die een cryptogebruiker kan hebben, zolang hij de juiste dingen bevat. Gebruik hem voor unieke accountwachtwoorden en via automatisch invullen als phishingcheck, bescherm hem met een sterke wachtwoordzin en hardwarematige tweefactorauthenticatie, en bewaar seedzinnen en privésleutels offline, waar malware en datalekken er niet bij kunnen.