Blockchain-onderzoeker ZachXBT gooide donderdag een steen in de vijver van de zelfbewaring. In een bericht op Telegram noemde hij alle hardware wallets die nu op de markt zijn “complete garbage”, oftewel complete rommel, en zette hij zijn kritiek zwaar aan tegen marktleider Ledger. Zijn advies aan gevorderde gebruikers klinkt tegendraads: laat het losse apparaatje links liggen en gebruik een aparte iPhone als je signing device.
Kerncijfers
- Bitcoin-koers rond moment van uitspraken: $64.729
- Nep Ledger Live-app (april): buit van circa $9,5 miljoen
- Verlies muzikant G. Love aan die nepapp: 5,92 BTC
- Grootste individuele diefstal (januari): meer dan $282 miljoen
ZachXBT presenteerde zijn oordeel zelf als een “hot take” en dat is precies wat het is. Hij legde geen nieuw lek op tafel en toonde geen bewijs dat alle modellen een gedeelde zwakte delen. Het gaat om een principiële afwijzing: in zijn ogen schieten alle huidige oplossingen tekort op zowel veiligheid als gebruiksgemak, waardoor ze wat hem betreft ongeschikt zijn om er grote bedragen mee te tekenen of te bewaren.
Waarom Ledger de klos is
De scherpste woorden bewaarde ZachXBT voor Ledger, de Franse fabrikant die de markt voor hardware wallets domineert. Zijn verwijt richt zich op de bijbehorende software: Ledger krijgt volgens hem telkens weer UI- en app-updates “for no good reason” die basisfuncties vervolgens breken. Dat verwijt komt niet uit de lucht vallen. Vorige maand doopte Ledger de app Ledger Live om tot Ledger Wallet en propte er kopen, swappen, staken en yield in, terwijl het ooit een vrij simpele begeleidende app was.
Voor wie hier nieuw in is: een hardware wallet is een fysiek apparaatje dat je privésleutels offline bewaart. Je bevestigt transacties met een druk op de knop, zodat malware op je computer er in theorie niet bij kan. Critici wijzen er al langer op dat elke extra functie in de begeleidende software de aanvalsoppervlakte vergroot en de kans op fouten in de kerntaak, het tekenen van transacties, opdrijft.
Het jaar dat Ledger achtervolgt
De timing van ZachXBT is geen toeval. De eerste helft van 2026 stapelden de incidenten rond hardware wallets zich op, waarbij vrijwel altijd de mens rondom het apparaat werd uitgebuit en niet de chip zelf. In april leegde een frauduleuze kloon van Ledger Live in de Apple App Store ongeveer 9,5 miljoen dollar aan tegoeden. Een van de slachtoffers was muzikant Garrett Dutton, bekend als G. Love, die zijn volledige pensioenpotje van 5,92 BTC kwijtraakte nadat hij zijn seed phrase in de nepapp had ingevoerd.
Daarnaast verloor in januari een enkel slachtoffer meer dan 282 miljoen dollar in Bitcoin en Litecoin via social engineering, en in maart meldde een handelaar dat 30.000 USDC verdween uit een zogenaamd air-gapped Ledger-opstelling. Belangrijk om te benoemen: geen van deze zaken bewees dat het beveiligde element van Ledger zelf gekraakt was. Het draaide om nepsoftware, misleiding en gestolen inloggegevens.
Een iPhone als kluis?
Als alternatief raadt ZachXBT aan om een aparte iPhone volledig kaal te maken en uitsluitend als signing device te gebruiken. Volgens hem geeft dat meer controle en minder kwetsbaarheden dan een traditionele hardware wallet, mede dankzij de Secure Enclave van de telefoon en de strenge afscherming tussen apps. Hij plakte er wel een spottende waarschuwing aan vast: “Only do this if you are not low iq.”
Dat advies verdient nuance, en die geeft ZachXBT zelf niet. Een iPhone is per definitie een apparaat dat met internet verbonden is, wat het dichter bij een hot wallet plaatst dan bij echte cold storage, hoe strak je hem ook dichttimmert. Bovendien concentreer je met een enkel apparaat het genereren van de seed, de opslag en het tekenen op een en dezelfde plek, waardoor de fysieke bevestigingsstap van een losse hardware wallet wegvalt. Voor doorsnee gebruikers is dat eerder een risico dan een geruststelling.
Bitcoin blijft rustig
Terwijl de discussie op crypto-social media losbarstte, bewoog de markt nauwelijks. Bitcoin handelde net onder de 65.000 dollar nadat Zuid-Korea voor het eerst in ruim drie jaar de rente verhoogde. De kern van ZachXBT’s boodschap staat los van die koers: de zwakste schakel in je beveiliging zit zelden in het apparaat, maar in hoe je het gebruikt.
