Gemanipuleerde en nep-hardware wallets: zo koop je er veilig een

Een nep-hardware wallet is een nagemaakt of gemanipuleerd apparaat dat is ontworpen om je crypto te stelen, meestal doordat het wordt geleverd met een vooraf ingestelde herstelzin of doordat het de zin die jij aanmaakt in het geheim doorlekt. De veiligste verdediging is eenvoudig: koop alleen bij de fabrikant of een geautoriseerde wederverkoper, controleer het apparaat tijdens de installatie en gebruik nooit een wallet die aankomt met een al opgeschreven herstelzin.

Hardware wallets zijn een van de beste manieren om crypto te beschermen, omdat ze je privésleutels offline houden. Juist die reputatie is de reden dat oplichters ze namaken. Een gecompromitteerd apparaat geeft je een vals gevoel van veiligheid terwijl iemand anders een kopie van je sleutels heeft.

Hoe aanvallen met gemanipuleerde en nep-wallets werken

Er zijn verschillende varianten, maar de meeste verlopen zo:

1. 1Het apparaat wordt verkregen of gemaakt. Oplichters kopen echte apparaten en passen ze aan, of maken namaakhardware die op een populair merk lijkt.
2. 2Het wordt doorverkocht via niet-officiële kanalen. Marktplaatsen, veilingsites, winkels op sociale media en ‘discount’-winkels zijn veelgebruikte routes.
3. 3Er wordt een val gezet. Het pakket kan een kraskaart bevatten met een ‘herstelzin’ en instructies om die te gebruiken, of de aangepaste firmware kan de zin vastleggen die jij genereert.
4. 4Je stort geld. Omdat het apparaat er normaal uitziet, stuur je er crypto naartoe.
5. 5De aanvaller haalt het leeg. Omdat hij de herstelzin heeft, kan hij je wallet op zijn eigen apparaat herstellen en alles verplaatsen – vaak wacht hij tot het saldo groot is.

Een verwante tactiek is de oplichting met per post verstuurde ‘vervangers’: mensen ontvangen ongevraagd een apparaat met een brief waarin staat dat hun oude wallet onveilig is en vervangen moet worden. Het apparaat is aangepast om de herstelzin te stelen die je tijdens de ‘migratie’ invoert. Ons artikel Supply-chain-aanvallen gaat hier dieper op in.

Een hypothetisch voorbeeld

Dit scenario is verzonnen om het patroon te illustreren.

Stel je voor dat Priya een bekend hardware-walletmodel vindt in een advertentie op een marktplaats, voor een merkbaar lagere prijs dan in de officiële winkel. De doos komt aan met verpakking die intact lijkt en een gedrukt kaartje met de tekst ‘Je herstelzin – bewaar deze veilig’, gevolgd door 24 woorden. De instructies zeggen dat ze die woorden tijdens de installatie moet invoeren ‘voor snellere activering’. Zie ook: Wachtwoordmanagers en crypto.

Priya volgt de instructies, stuurt haar spaargeld naar de wallet en wekenlang lijkt alles normaal. Dan verdwijnt haar saldo. De verkoper had een kopie van die 24 woorden gehouden. Er was niets mis met de blockchain of met de echte apparaten van het merk – het apparaat en de instructies waren de val. Wil je verder lezen, bekijk dan Oplichting met walletvalidatie en -synchronisatie.

Checklist met waarschuwingssignalen

• Er zit een herstelzin in de doos, op een kaartje of in de instructies.
• Het apparaat is al ingesteld, vraagt je niet om een pincode aan te maken of toont bestaande accounts.
• De prijs ligt ver onder de prijs van de fabrikant.
• De verkoper staat niet als geautoriseerde wederverkoper op de officiële website.
• De verpakking vertoont tekenen van opnieuw dichtmaken, beschadigde veiligheidszegels, lijmresten of ontbrekende onderdelen.
• De instructies verwijzen je naar een andere website of app dan die van de fabrikant.
• Er komt ongevraagd een apparaat aan, met een brief die je aanspoort je geld te ‘migreren’.
• De echtheidscontrole van de bijbehorende app mislukt of geeft een waarschuwing over het apparaat.

Zo koop en installeer je een hardware wallet veilig

Voordat je koopt

1. 1Ga naar de website van de fabrikant door het adres zelf in te typen – pas op voor phishing via zoekadvertenties.
2. 2Koop daar rechtstreeks, of bij een wederverkoper die op die officiële site staat.
3. 3Vermijd tweedehands apparaten, ook van mensen die je kent.

Als hij binnenkomt

Tijdens de installatie

• Laat het apparaat een nieuwe herstelzin genereren en schrijf die zelf offline op.
• Typ je herstelzin nooit in op een computer, telefoon of website.
• Werk firmware alleen bij via de officiële app.
• Stuur eerst een klein testbedrag en bevestig daarna het ontvangstadres op het scherm van het apparaat.

Onze stapsgewijze gids over hoe je een hardware wallet instelt behandelt het hele proces, en hoe je een hardware wallet kiest legt uit waar je vóór de aankoop op moet letten.

Bescherm jezelf na de aankoop

• Bewaar je herstelzin offline op een veilige plek – overweeg stalen back-ups van je seedphrase voor bescherming tegen brand en water.
• Beschouw elk bericht, elke e-mail of brief die om je herstelzin vraagt als oplichting. Fabrikanten vragen er nooit om.
• Houd je aankoopgegevens privé; gelekte klantgegevens kunnen leiden tot gerichte phishing en oplichting per post.
• Controleer elk adres op het scherm van het apparaat voordat je een transactie goedkeurt.

Wat te doen als je een gecompromitteerd apparaat vermoedt

1. 1Stop met storten op de verdachte wallet.
2. 2Schaf een echt apparaat aan via een officiële bron, of gebruik tijdelijk een andere vertrouwde wallet.
3. 3Maak een gloednieuwe herstelzin aan op het vertrouwde apparaat.
4. 4Zet al je geld over van de verdachte wallet naar de nieuwe, zo snel mogelijk.
5. 5Neem contact op met de fabrikant met gegevens over de verkoper en het apparaat.
6. 6Meld de verkoper bij de marktplaats en, waar relevant, bij de politie of je consumentenautoriteit. Je kunt het ons ook laten weten via ons meldformulier.

Is er al geld weggenomen, volg dan wat je direct moet doen als je wallet gecompromitteerd is.

Conclusie

Een hardware wallet is maar zo veilig als zijn toeleveringsketen. Koop bij de fabrikant of een geautoriseerde wederverkoper, weiger elk apparaat dat met een herstelzin komt of ongevraagd binnenkomt, voer de officiële echtheidscontrole uit en genereer je eigen zin offline. Die paar gewoonten nemen bijna al het risico van nep- en gemanipuleerde apparaten weg.