Veilige crypto-opslag onder druk: Trezor-lek trest 14.000 investeerders

De markt voor de veiligste opslag van crypto staat flink onder druk. Een datalek bij hardwarewalletmaker Trezor heeft de persoonsgegevens van bijna 14.000 klanten op straat gegooid. Het gaat vaker mis in deze hoek, maar zelden zo vaak achter elkaar als nu.

Datalek zit bij de bezorger

Het lek zit niet bij Trezor zelf, maar bij bezorgpartner ShipMonk. Dat bedrijf meldde maandag dat een onbevoegde partij toegang had gekregen tot bestelgegevens, liet Trezor donderdag weten.

Van 11.742 klanten liggen naam, e-mailadres, telefoonnummer en bezorgadres op straat. Bij 1.947 anderen gaat het om naam, woonplaats en e-mailadres.

Het draait om pakketjes die tussen 10 mei en 8 augustus werden bezorgd in zeven landen, waaronder de Verenigde Staten, Zweden en Italië.

Belangrijk is dat de apparaatjes zelf niet gekraakt zijn. Ook de private keys, de geheime codes die toegang geven tot de munten, zijn nergens gelekt.

Toch is de schade groot. Hackers kunnen erachter komen wie er een Trezor bezit en kunnen die gericht benaderen.

Hun doel is dan altijd om de herstelzin te bemachtigen. Die reeks woorden dienen als reservesleutel waarmee iemand vanuit een ander apparaat toegang kan krijgen tot de munten. Trezor zal hier zelf nooit om vragen.

Cold storage krijgt de volle lading

Het is binnen twee weken de tweede tegenvaller voor cold storage, de manier waarop bezitters hun sleutels offline bewaren. Op 30 juli hebben aanvallers ook een flinke buit geslagen van vermoedelijk 1.816 Bitcoin (BTC) bij meer dan 5.000 Coldcard-adressen.

Een fout in de firmware uit maart 2021 zorgde ervoor dat die apparaten voorspelbare sleutels aanmaakten. Aanvallers konden ze uitrekenen zonder ooit een apparaat aan te raken.

Blockchain-onderzoeksbureau TRM Labs trok daar een harde conclusie uit. “Het onderstreept dat zelfbeheer risico verplaatst in plaats van dat het dit wegneemt”, schreef blockchain-onderzoeksbureau TRM Labs.

Concurrent Ledger zag in januari nog klantgegevens weglekken bij betaalpartner Global-e. Na een eerder Ledger-lek in 2020 kregen gedupeerden zelfs nepapparaten thuisgestuurd.

Trezor had in 2022 en begin 2024 ook al lekken. Telefoonnummers en huisadressen lagen in de dertienjarige geschiedenis van het bedrijf nooit eerder op straat.

Het alternatief is de munten bij een cryptobeurs laten staan. Dan bezit je ze niet echt, maar heb je een tegoed bij een bedrijf dat kan omvallen of gehackt worden.

Een nieuwere optie is om crypto-ETF’s te kopen en dat is een hele veilige en makkelijke manier om via de gereguleerde beurs blootstelling te krijgen. Maar ook dat levert een kern-eigenschap van crypto in: zelf over je munten beschikken.

Huisadres maakt bezitters een doelwit

Dat laatste maakt dit lek gevaarlijker dan de vorige. Criminelen zoeken cryptobezitters steeds vaker op in het echte leven.

“Criminelen hebben door dat cryptobezitters waardevolle doelwitten zijn, omdat zij vermogen bezitten in een direct en onomkeerbaar overdraagbare vorm”, aldus blockchain-databedrijf Chainalysis.

Van de 46 gewelddadige aanvallen op crypto-investeerders die dit jaar zijn geteld, bestond meer dan de helft uit ontvoeringen. Bij ruim een derde ging het om een inbraak thuis.

Trezor zegt geen enkel geval van misbruik te kennen en werkt nu aan anonieme bezorging, waarbij een bestelling niet meer aan een huisadres wordt gekoppeld. Die optie moet in september in de EU beschikbaar zijn.