Hardware wallets van wederverkoper CryptoBilis werden geleverd met verborgen bordjes die woordezinnen van het scherm af stelen. Zelfbeheer verplaatst, verwijdert niet, tegenpartijrisico.
Uw hardwarewallet is zo veilig als de wederverkoper
De koude-opslagsector verkocht ons een troostend verhaal: koop een hardwarewallet, bewaar je sleutels offline en je bent immuun voor de exchange-hacks en phishing-oplichtingen die iedereen anders leegzuigen. Dat verhaal eindigde deze week. Trezor bevestigde dat drie van hun Safe 5-wallets bij klanten aankwamen met een verborgen circuitbord verstopt tussen het moederbord en het scherm — een bord dat de seed phrase van het display las en deze via een mobiele netwerk doorstuurde. Het 'secure element' van het apparaat merkte er niets van, omdat de aanval het nooit raakte.
Belangrijkste punten
- Trezor bevestigde dat 3 van de door de Zuid-Oost-Aziatische wederverkoper CryptoBilis verkochte Safe 5-apparaten cellulaire inplaatjes hadden die wachtfrazen off-screen hadden onderschept — terwijl de firmware en de Secure Element onaangetast bleven.
- Dit lijkt op de Ledger/CryptoBilis-campagne, waarbij chain-analysten $72M–$102M gestolen traceren over 300+ wallets, voornamelijk in Tron USDT.
- Een "echtheidcontrole" van een apparaat slaagt nog steeds met extra hardware erin — attestatie bewijst dat de chip echt is, niet dat er niets is toegevoegd.
Zelfbeveiliging verwijdert het tegenpartijrisico niet; het verplaatst het van een bewaarder naar een doorverkoper die u nooit heeft gecontroleerd.
- Trezor schrapte 80% van zijn doorverkopers en Ledger stopte met verkoop in Zuidoost-Azië en Hongkong. Het doorverkopersmodel voor koude opslag is effectief dood.
Wat er precies gebeurde: een aanval die nooit de chip raakt
Dit is de korte samenvatting van de hardwarewallet-toeleveringsketenaanval. De inplanting is een passieve luisteraar die is ingeklemd tussen de hoofdplaat van de Safe 5 en het scherm. Het draagt een cellulair module en een antenne. Het kopieert alles wat er op het scherm verschijnt, herkent de exacte opeenvolging die een seed-woord of wachtzin renderen, versleutelt het en zendt het af via het mobiele netwerk naar een server die door de aanvallers wordt beheerd. Als het niet kan verbinden, bewaart het de gegevens en probeert het opnieuw totdat het lukt.
Het kritieke detail is wat het niet doet. Het past de firmware nooit aan, raakt de Secure Element nooit niet, en wijzigt nooit een transactie. Daardoor werkt het. De eigen authenticiteitcontrole van Trezor slaagde, omdat de originele chip nog steeds origineel was — niets in de software flagde dat er een tweede, vijandige kaart in de behuizing zat. De wallet zag eruit, woog en gedroeg zich precies zoals een normale Safe 5. De gebruiker deed alles goed en gaf toch de mastersleutel over.
De drie bevestigde apparaten zijn gekocht tussen 20 augustus en 23 september 2026, via CryptoBilis's Tokopedia- en Shopee-winkelpuien en rechtstreeks van de wederverkoper. Trezor had CryptoBilis al op 9 oktober de band gesneden — dezelfde dag waarop Ledger verliezen vanaf dezelfde winkel ging onderzoeken. Op 11 november verzond Trezor firmware 2.13.1, waarin de weergave-opdrachten worden herschikt zodat de trigger van de inplanting nooit afvuurt. Het is een slimme patch, maar Trezor was duidelijk over de beperkingen ervan: het kan een seed phrase die al is onderschept niet beschermen. Een firmware-update maakt een gestolen back-up niet ongedaan.
Het grote plaatje: "not your keys" draaide altijd om hardware-trust
Een decennium lang zag "not your keys, not your coins" de hardware wallet als het enige waar je in een trustless systeem op kunt vertrouwen. Software, firmware en secure elements zijn moeiteloos verdedigd tegen aanvallen op afstand. De aanvallers liepen er simpelweg omheen met een board, een cellular module en de laadplek van een wederverkoper. Dat is het contrariaste standpunt van deze week: self-custody schaft tegenpartijrisico niet af. Het verplaatst het van een bewaarder naar een toeleveringsketen — de wederverkoper, de distributeur, het warehouse, de courier, de douane-agentschap. En die keten is voor een normale koper veel moeilijker te controleren dan de balans van een gereguleerde bank.
Bekijk de asymmetrie. Een bewaarder is een rechtspersoon met een balans, verzekering en een toezichthouder die u kunt noemen. Een wederverkoper is een gevel in een rechtsgebied dat u mogelijk nooit bezoekt, die voorraad inkoopt via handen die u nooit zult zien. De hele self-custody-verkoopsintroostie ging ervan uit dat het apparaat eerlijk was, en de manipulatie wegneemt die veronderstelling nog voordat u een enkele beslissing hebt genomen. Zodra een aanvalspartij binnen in de behuizing is geweest, mislukken alle beschermingen niet — ze worden simpelweg omzeild.
Golfslagen: wie wint, wie verliest
Trezor en Ledger komen uit dit incident competent maar structureel verzwakt. Transparante openbaarmaking, een snelle firmware-update en een purge van 80% van de wederverkopers zijn precies de juiste reactie — maar ze betekenen in wezen toegeven dat de schapen van een derde partij hun beveiligingsperimeter waren. Het wederverkoopmodel is de grootste verliezer. Het schrappen van vier op de vijf partners duwt cold storage naar alleen direct-naar-consument, wat kosten en wrijving in opkomende markten vergroot — precies de plekken waar self-custody het meeste moet tellen.
De stille winnaar is gereguleerde custody. ETF's, gekwalificeerde bewaarders en banken houden activa achter verzekering, juridische vorderingen en benoemde wederpartijen. Als de 'veiligste' manier om crypto te bewaren nu downgradeskills en supply-chain-forensiek vereist, dan kantelt het eerlijke antwoord voor de meeste mensen naar een custodian met een herstelproces. Dat is een diep ongemakkelijke conclusie voor maximalisten, maar de risicomathematiek geeft niets om ideologie.
En er is een scherper randje. Als de toegeschreven Noord-Koreaanse aanpak klopt — en de geheimzinnige overname van CryptoBilis in maart 2026, waarbij personeel onder NDA werd gezet, past in het patroon van de groep achter de $6,3 miljard Binance-overval en de door AI vergiftigde softwarepakketten — dan heeft een staatsacteur de fysieke laag geïndustrialiseerd. Het ging van het leegpompen van beurzen naar het overnemen van hele dealerbedrijven en het inplanten van apparaten op het distributiepunt.
Historische context: van evil maid naar geïndustrialiseerd
De "evil maid"-aanval — een apparaat dat in een hotelkamer is gemanipuleerd — was jarenlang een spelletje voor cypherpunks. Vooraf geïmplanteerde scam-wallets en verkochte gemanipuleerde units bestonden wel, maar ze waren grof: een afgedrukte herstelzin in de doos, een verzegelde blisterverpakking. Wat nu anders is, is de professionaliteit. Een specifieke erkende wederverkoper is geïnspecteerd. De vestiging werd maanden voor iedereen het merkte covertelijk overgenomen. De implant was op maat gemaakt en aangepast aan het display van elke verkoper — de Ledger-versie gebruikte een eSIM en een microcontroller die is aangesloten op de SPI-bus van het display, en de Trezor-versie is hierop gebaseerd, aangepast voor de Safe 5. Onderzoekers die de blockchain traceren, brengen de verliezen van ongeveer $72 miljoen tot $102 miljoen in kaart, verdeeld over meer dan 300 wallets, met een concentratie in Tron USDT. De evil maid is geïndustrialiseerd.
Mark Karpelès, de voormalige CEO van Mt. Gox, maakte het punt dat me bijbleef: hij ontdekte zijn gemanipuleerde Nano X deels doordat het apparaat eenvoudig te openen was. Een wallet die je niet kunt openen, is een wallet die je niet kunt verifiëren. Daar schuilt een echte spanning tussen tamper-resistance en inspectability — en de sector heeft geoptimaliseerd voor het eerste.
Het toekomstbeeld: een verifieerbare toeleveringsketen
Kijk uit naar een horizon van één tot drie jaar en de vorm is al zichtbaar. Tamper-evidente verpakking stopt met een nice-to-have te zijn en wordt tot een noodzaak. Genummerde verzegelingen, ondertekende provenance en logging van de chain-of-custody van fabriek tot aan de deur zullen even krachtig worden gemarkt als de secure element zelf. Hardware attestation zal het volledige bord moeten controleren, niet alleen de chip. En ik zou inzetten op een echte tweelaags verdeling: self-custody wordt een discipline voor power-users die hardware kunnen openen, inspecteren en verifiëren, terwijl iedereen anders uitwijkt naar gereguleerde custody. De droom van "self-custody voor iedereen" komt om het leven bij de laadplek van de wederverkoper, vervangen door "self-custody voor de mensen die het daadwerkelijk kunnen verifiëren."
Handelkundige invalshoek: provenance en de herstel-asymmetrie
Dit is geen prijsinschatting — het is een input voor opslagrisico, en het is nu uitvoerbaar. Provenance is nu een beveiligingsmaatregel: koop direct bij de fabrikant, verifieer de actuele lijst van erkende wederverkopers (beide vendors hebben deze net aangepast), controleer de verzegelingen, en beschouw tweedehands of 'goedkoop aangeboden' hardware als vanzelfsprekend vijandig. Als de provenance van een apparaat in twijfel is, ga er dan vanuit dat de frase vernietigd is en migreer naar een nieuwe seed — een firmware-update keert een vastgelegde back-up niet ongedaan.
Let je je ook bewust van de asymmetrie in het herstelproces. Tether bevroor ongeveer $10 miljoen die gerelateerd was aan de Ledger-verliezen — de enige zinvolle hefboom voor terughouding die hier bestaat — en dit werkt alleen bij centraal uitgegeven token. Als je gestolen tegoeden Bitcoin zijn, bestaat er geen bevriesknop. Dit is een wezenlijk risicoverschil tussen het houden van waarde op een centrale token versus een permissionless blockchain, en het hoort thuis bij elke self-custody-beslissing.
Afsluiten
De markt voor hardware wallets heeft een decennium lang geprobeerd u ervan te overtuigen dat de doos in uw handen het enige eerlijke ding in crypto was. Deze week bewees die doos niets meer dan een schakel te zijn in een toeleveringsketen die u niet kunt zien. Als "vertrouw niet, verifieer" ooit de echte ethos was, is het nu veel letterlijker geworden — en beschikken de meesten van ons niet over de tools om die verificatie uit te voeren. Dus wie vertrouwt u nu eigenlijk?
FAQ
Wat er nu precies bij Trezor en CryptoBilis is gebeurd? Trezor bevestigde op 12 november 2026 dat drie Safe 5 hardware wallets, verkocht via de zuidoost-Aziatische doorverkoper CryptoBilis, verborgen printplaten bevatten die seed-zinnen van het scherm afluisterden en via celluliere netwerken verzonden. Tot nu toe heeft geen enkele Trezor-klant verlies gerapporteerd, en het bedrijf сократило zijn doorverkopersnetwerk met ongeveer 80%.
Hoe werkt het hardware-implantaat? Er zit een klein bordje tussen de hoofdbord en het scherm van het apparaat dat alles leest wat er op het display verschijnt. Wanneer de seed-phrase of wachtwoordzin wordt getoond, versleutelt en verstuurt het die data via een mobiele verbinding, met herhaling tot de verbinding tot stand komt. Het firmware of Secure Element wordt nooit gewijzigd, daarom slaagt een "origineel apparaat"-controle nog steeds.
Loop ik risico met mijn hardware wallet? Als je rechtstreeks bij de fabrikant of bij een wederverkoper hebt gekocht die momenteel op de geautoriseerde lijst staat, gelden de bevestigde Trezor-gevallen niet voor jou. De bredere les is dat de integriteit van de toeleveringsketen nu deel uitmaakt van wallet-beveiliging — verifieer de provenance, niet alleen de firmware.
Wat moet ik doen als ik bij CryptoBilis heb gekocht? Verplaats je middelen naar een nieuwe wallet die is aangemaakt met een compleet nieuwe seedphrase, en gebruik de oude niet opnieuw. Neem contact op met de ondersteuning van Trezor of Ledger voor een vervanging. Een firmware-update kan een reeds onderschepte frase niet beschermen.
Geldt "not your keys, not your coins" nog steeds? Dit geldt alleen als het apparaat dat je sleutels genereert en bewaart betrouwbaar is. Een gemanipuleerd apparaat doorbreekt die veronderstelling nog voordat je een enkele beslissing neemt, daarom betekent self-custody nu het verifiëren van de hardware en de supply chain — niet alleen het bezitten van de sleutels.
DYOR: Trezor's officiële CryptoBilis-onderzoek (https://trezor.io/blog/news/our-cryptobilis-investigation-what-we-found-and-what-weve-changed) · trezor.io · ledger.com (https://ledger.com) · satoshilabs.com (https://satoshilabs.com)