Twee grote namen in hardware wallets, doorgaans elkaars concurrenten, staan opeens zij aan zij. Ledger en Trezor roepen beveiligingsonderzoekers op om kwetsbaarheden eerst privé te melden en pas openbaar te maken zodra er een fix klaarstaat. De aanleiding is even opvallend als het bondgenootschap zelf: kunstmatige intelligentie maakt het volgens beide bedrijven sneller en goedkoper om lekken te vinden en te misbruiken, waardoor de tijd tussen ontdekking en een echte aanval steeds korter wordt.
Charles Guillemet, de CTO van Ledger, verwoordde het scherp op X. Volgens hem publiceren sommige onderzoekers hun bevindingen voordat er een oplossing beschikbaar is, iets wat hij omschreef als “attention farming with someone else’s risk”. Ofwel: aandacht scoren over de rug van de gebruiker, die intussen met een openliggend lek zit. Guillemet pleit ervoor dat onderzoekers bugs vertrouwelijk aankaarten en samen een tijdlijn afspreken voordat er ook maar iets naar buiten komt. Als richtlijn noemt hij negentig dagen, met ruimte om af te wijken afhankelijk van de ernst en de hoeveelheid werk die een reparatie vraagt.
Bij Trezor legt Jan Komarek, hoofd security, de bal nadrukkelijk ook bij de fabrikant. “Ninety days is a commitment on the vendor, not just on the researcher”, zei hij tegen Cointelegraph. Zijn boodschap aan onderzoekers is helder: kom eerst naar ons, spreek een termijn af, publiceer daarna volledig, en als wij binnen dat venster geen fix leveren, publiceer dan alsnog. Dat laatste is belangrijk, want responsible disclosure is geen zwijgcontract. Het is een afspraak met een deadline die beide kanten op werkt.
Waarom dit nu speelt
De timing is geen toeval. De sector kreeg de afgelopen maanden flinke klappen te verwerken. Bij Coldcard, een populaire bitcoin-hardwarewallet, leidde een jarenlang onopgemerkt gebleven fout tot diefstallen die volgens meerdere analyses opliepen tot boven de honderd miljoen dollar. Daarnaast raakte Trezor zelf getroffen door een datalek bij een externe verzendpartner, waardoor persoonsgegevens van tienduizenden klanten op straat kwamen te liggen. Belangrijk detail voor gebruikers: het Trezor-apparaat zelf werd daarbij niet gecompromitteerd, het ging om gegevens bij een logistieke partner.
Dat de twee rivalen elkaar juist nu vinden, komt door een concreet voorbeeld van hoe het wel hoort. Ledger’s onderzoeksafdeling Donjon ontdekte begin 2026 een laser-fault-injection-aanval op de TROPIC01-chip, een secure element dat in de Trezor Safe 7 zit. Daarbij worden gerichte laserpulsen op de chip afgevuurd om de werking te verstoren, een techniek die futuristisch klinkt maar in hardwarebeveiliging allang bekend is. Ledger meldde het lek netjes bij Trezor voordat er iets openbaar werd. Precies dat proces houden beide bedrijven nu omhoog als het model dat de rest van de sector zou moeten volgen.
Wat betekent dit voor jou als gebruiker
Voor wie net begint met zelf bewaren van crypto is de kern simpel. Een hardware wallet is een fysiek apparaat dat je private sleutels offline houdt, buiten bereik van internet. Geen enkel apparaat is honderd procent onfeilbaar, maar de manier waarop een fabrikant met lekken omgaat zegt veel over hoe serieus je geld daar zit. Een bedrijf dat kwetsbaarheden erkent, patcht en daarover communiceert, is te verkiezen boven eentje dat problemen wegmoffelt.
Voor ervaren lezers legt deze discussie een oud spanningsveld bloot. Volledige transparantie versus de veiligheid van gebruikers die nog geen update hebben geinstalleerd. AI verschuift dat evenwicht, omdat een gepubliceerd lek nu veel sneller om te zetten is in werkende exploitcode. De oproep van Ledger en Trezor komt daarmee neer op een pleidooi voor spelregels: melden mag, publiceren ook, maar wel op een moment dat de portemonnee van de ander niet leeggeroofd wordt.
