Een hardware wallet wordt vaak omschreven als een simpel USB-stickje voor je crypto. Dat doet het apparaat tekort. Onder de behuizing zit een chip die is ontworpen om precies een ding nooit te doen: je privesleutel prijsgeven. Dat mechanisme, niet het plastic omhulsel, is waarom het apparaat als veilig geldt. Hieronder lees je hoe het werkt, en waar de bescherming ophoudt.
Je sleutel verlaat het apparaat nooit, dat is het hele punt
De kern van een hardware wallet is simpel te zeggen en lastig na te bootsen in software: de privesleutel wordt gegenereerd en opgeslagen in een apart chipje, het secure element, en verlaat dat chipje nooit. Wil je een transactie versturen, dan stuurt de wallet-app de ongetekende data naar het apparaat. Binnen de chip wordt de transactie ondertekend met de sleutel die daar blijft zitten. Alleen de ondertekende transactie, niet de sleutel zelf, gaat terug naar je computer of telefoon.
Een softwarewallet mist die scheiding. Daar staat de sleutel, tijdelijk of permanent, in het geheugen van een apparaat dat ook browserextensies, downloads en andere software verwerkt. Dat is het verschil tussen een sleutel die ergens bereikbaar is, en een sleutel die nergens bereikbaar is.
Wat een secure element anders maakt dan een gewone chip
Niet elke chip is een secure element. Het is een apart stukje silicium, losgekoppeld van de hoofdprocessor, gebouwd om aanvallen te weerstaan die verder gaan dan een virus. Denk aan iemand die met een naald in de chip probeert te prikken, de stroomtoevoer laat haperen om een fout uit te lokken, of het stroomverbruik afluistert om patronen af te leiden die naar de sleutel wijzen.
Dezelfde chipklasse zit in bankpasjes en paspoorten. De onafhankelijke toets hiervoor heet Common Criteria, met een Evaluation Assurance Level (EAL) van 1 tot 7. Secure elements in hardware wallets zitten doorgaans op EAL5+ of EAL6+, het niveau dat specifiek getest is tegen fysieke manipulatie en zogeheten side-channel-aanvallen (bron: Common Criteria Portal, commoncriteriaportal.org, geraadpleegd op 1 september 2026). Een gewone microcontroller, zoals in veel consumentenelektronica, wordt nooit op dat niveau getest.
Hoe een seed phrase duizenden sleutels wordt
Een hardware wallet genereert niet voor elke coin of elk account een losse sleutel die je apart moet bewaren. Dat zou onwerkbaar zijn. In plaats daarvan leidt het apparaat, volgens het protocol dat bekendstaat als BIP-32, uit een enkele hoofdseed een hele boom van sleutels af.
Dat gebeurt met een key derivation function: een wiskundige bewerking die van de hoofdsleutel en een chain code, een reeks van 256 bits, telkens een nieuwe kindsleutel maakt. Bij de zogeheten hardened derivation gebeurt dat zo dat de privesleutel nooit op een plek in het rekenproces komt waar hij afgeleid zou kunnen worden uit een publieke sleutel. Dat is precies waarom je met een enkele back-up van 12 of 24 woorden elke afgeleide sleutel kunt reproduceren, op elk apparaat dat hetzelfde protocol volgt. Het voorstel staat gedocumenteerd in de officiële Bitcoin Improvement Proposals.
Wat een PIN-teller voorkomt, en wat niet
Stel dat iemand je hardware wallet in handen krijgt. Zonder de PIN kan diegene weinig. De meeste apparaten bouwen een oplopende vertraging in na een fout ingevoerde PIN, of wissen zichzelf na een vast aantal pogingen. Hoeveel pogingen dat precies zijn, verschilt per fabrikant, maar het principe is hetzelfde: bruteforcen kost exponentieel meer tijd dan een aanvaller ervoor heeft. Fysiek bezit van het apparaat is dus niet genoeg.
Een gelekte seed phrase omzeilt die bescherming volledig. Wie de woorden kent, hoeft je apparaat niet te hebben. Diegene importeert de seed in willekeurige wallet-software en heeft dezelfde sleutels als jij, zonder PIN, zonder secure element, zonder teller.
Het apparaat is zelden het probleem
De meeste incidenten met hardware wallets ontstaan niet doordat iemand het secure element kraakt. Op EAL5+ of EAL6+ is dat technisch en financieel onaantrekkelijk voor de meeste aanvallers. De PIN-teller houdt een gestolen apparaat tegen, maar niet een gelekte seed phrase, en daar zit het echte lek: de papieren of metalen back-up belandt op een minder beveiligde plek, gefotografeerd, getypt in een phishingformulier, of bewaard in een notitie-app die synchroniseert naar de cloud.
Het apparaat verdedigt zich uitstekend tegen aanvallen op zichzelf. Tegen een menselijke fout bij het bewaren van de backup kan geen enkele chip iets doen. In een eerder artikel gingen we dieper in op waarom het verlies van een seed phrase in sommige situaties herstelbaar is en in andere niet.
Hardware wallet versus bewaren bij een derde partij
Een hardware wallet is een vorm van self-custody: jij beheert de sleutel, in jouw secure element. Het alternatief is bewaren bij een derde partij, waarbij een aanbieder de sleutels namens jou beheert, ook wel custodial genoemd. Dat verschil in wie de sleutel beheert, bepaalt ook wie welk risico draagt als er iets misgaat, bijvoorbeeld bij een faillissement.
Veelgestelde vragen over hardware wallets
Is een hardware wallet veilig tegen hackers?
Een hardware wallet is veilig tegen hackers voor zover die de sleutel op afstand proberen te bemachtigen. Omdat de privesleutel nooit buiten het secure element komt, heeft malware op je computer niets om te stelen: die ziet alleen de al ondertekende transactie. Wat de chip niet tegenhoudt, is phishing waarbij je zelf je seed phrase intypt op een nagemaakte website.
Wat gebeurt er als mijn hardware wallet kapot gaat of ik hem kwijtraak?
Als je hardware wallet kapot gaat of kwijtraakt, blijft je crypto bereikbaar zolang je de seed phrase nog hebt. Je voert die in op een nieuw apparaat of compatibele wallet-software, en dankzij de onderliggende sleutelafleiding (BIP-32) worden precies dezelfde sleutels opnieuw berekend. Zonder die seed phrase is het verlies van het apparaat wel definitief, want dan bestaat er geen kopie meer van de hoofdsleutel.
Kan iemand mijn crypto stelen door mijn hardware wallet te stelen?
Iemand die alleen je hardware wallet steelt, kan er in de praktijk weinig mee zonder de PIN. De meeste apparaten vertragen of wissen zichzelf na een reeks foute pogingen, waardoor bruteforcen onhaalbaar wordt. Het risico zit niet in het apparaat zelf, maar in een gelekte seed phrase: die werkt op elk apparaat, ook zonder dat de dief jouw wallet in bezit heeft.
Werkt een hardware wallet zonder internetverbinding?
Een hardware wallet ondertekent transacties inderdaad zonder internetverbinding. Het apparaat verwerkt en signeert de data intern, volledig offline. Alleen de al ondertekende transactie, die verder niets prijsgeeft over de sleutel, gaat via de gekoppelde app naar het netwerk om verstuurd te worden. Die scheiding tussen ondertekenen en versturen is de reden dat het apparaat cold storage wordt genoemd.
Wat is het verschil tussen een hardware wallet en crypto bewaren bij een derde partij?
Een hardware wallet verschilt van bewaren bij een derde partij in wie de privesleutel beheert. Bij een hardware wallet ligt die sleutel bij jou, in het secure element. Bij bewaren via een derde partij, ook wel custodial genoemd, beheert die partij de sleutel namens jou. We gingen eerder dieper in op wat dat verschil betekent als een aanbieder in de problemen komt.
Dit artikel legt uit hoe een hardware wallet technisch werkt en is geen beleggingsadvies. Coinliners doet geen uitspraken over welk apparaat, welke aanbieder of welke wallet je zou moeten gebruiken.
