Hardware wallet uitgelegd — je crypto offline bewaren

Hardware wallet in het kort

• Bewaart je private sleutels offline op een fysiek apparaat (cold storage)
• De sleutel verlaat het apparaat nooit, ook niet tijdens een transactie
• Wie de sleutels heeft, beheert de crypto — een exchange beheert ze voor jou, een wallet doe je zelf
• Verlies je het apparaat, dan herstel je je tegoeden met de seed phrase
• Verlies je óók de seed phrase, dan zijn de crypto onherroepelijk weg

Wat een hardware wallet precies doet

Crypto zelf staat niet "in" je wallet. Munten als bitcoin bestaan als saldo op een blockchain; wat jij bezit is de private sleutel die toegang geeft tot dat saldo. Wie die sleutel heeft, kan de bijbehorende crypto verplaatsen. De hele beveiliging draait dus om één vraag: wie controleert de sleutel?

Een hardware wallet beantwoordt die vraag door de sleutel binnen een afgeschermde chip op te slaan en hem daar nooit uit te laten. Wil je een transactie versturen, dan stuurt je computer of telefoon de onbevestigde transactie naar het apparaat. Het apparaat ondertekent die intern met de sleutel en geeft alleen de handtekening terug. De sleutel zelf blijft achter.

Dat verschil is wezenlijk. Bij een wallet-app op je telefoon of een browserextensie staat de sleutel op een apparaat dat continu online is. Eén kwaadaardig programma of een lek kan dan genoeg zijn. Bij een hardware wallet zou een aanvaller het fysieke apparaat én je pincode in handen moeten krijgen.

Hot wallet versus hardware wallet

Wallets verschillen vooral in of de sleutel online of offline staat. Dat bepaalt hoe makkelijk je erbij kunt — en hoe makkelijk een aanvaller dat kan.

Veel beleggers combineren beide: een kleine werkvoorraad in een hot wallet voor snelle transacties, het grootste deel op een hardware wallet dat ze zelden aanraken.

Hoe het apparaat in de praktijk werkt

Bij de eerste keer opstarten genereert het apparaat een reeks van doorgaans twaalf of vierentwintig woorden: de seed phrase. Uit die woorden volgen al je private sleutels. Je schrijft de woorden op papier of een metalen plaatje en bewaart ze offline, los van het apparaat.

Daarna stel je een pincode in. Die pin beschermt het apparaat tegen iemand die het fysiek vindt. Voor elke transactie controleer je het bedrag en het ontvangstadres op het schermpje van het apparaat zelf en bevestig je met een knop. Zo kan malware op je computer het adres niet stiekem vervangen zonder dat je het ziet.

Stel: je koopt crypto op een exchange en stuurt die door naar het ontvangstadres van je hardware wallet. Vanaf dat moment staan de sleutels bij jou, niet meer bij het handelsplatform. Gaat de exchange failliet of wordt die gehackt, dan raakt dat jouw tegoeden op het apparaat niet.

Waarvoor beleggers een hardware wallet gebruiken

De meest voorkomende reden is bedragen die je voor langere tijd niet wilt verhandelen, weghouden van internet. Dit heet ook wel cold storage. Een tweede reden is onafhankelijkheid van een tussenpartij: zolang je crypto op een exchange staan, beheert die partij de sleutels namens jou. Met een hardware wallet neem je dat beheer over.

Een derde gebruik is spreiding van risico. Door niet alles op één online plek te bewaren, verklein je de kans dat één incident je hele bezit raakt. Tegenover dat voordeel staat dat je zelf verantwoordelijk wordt — er is geen helpdesk die een vergeten sleutel terugzet.

Risico's en valkuilen van een hardware wallet

Het grootste risico is niet technisch maar menselijk: de seed phrase. Wie die woorden in handen krijgt, kan je crypto leegtrekken, ook zonder het fysieke apparaat. Een foto van de woorden op je telefoon of in de cloud ondermijnt daarmee de hele opzet. Bewaar de seed phrase nooit digitaal.

Verlies je het apparaat én de seed phrase, dan is er geen herstelweg. De tegoeden blijven op de blockchain staan, maar niemand kan er nog bij. Anders dan bij een bank bestaat er geen partij die toegang kan herstellen.

Let ook op de herkomst van het apparaat. Een tweedehands of geknoeid exemplaar kan met een vooraf bekende seed zijn geleverd. Koop nieuw en stel de seed phrase altijd zelf op het apparaat in. Phishing is een aparte valkuil: nepsites en nep-apps proberen je je woorden te laten intypen. Een echt apparaat vraagt daar nooit om buiten het toestel zelf.

Crypto valt in Nederland onder toezicht van de AFM en in België onder de FSMA, en sinds de Europese MiCA-verordening gelden er regels voor aanbieders van crypto-diensten. Een hardware wallet zelf valt daar grotendeels buiten: het is een bewaarmiddel dat jij beheert, geen gereguleerde dienstverlener. De FSMA verplicht in België een risicowaarschuwing bij crypto-reclame, omdat de koersen sterk kunnen schommelen en je bezit niet onder een beschermingsregeling valt. Deze uitleg is educatief en geen advies.