DeFi wallet uitgelegd: zo verbind je veilig met crypto-apps

Een DeFi wallet is een crypto wallet waarvan je de private key zelf bewaart en waarmee je rechtstreeks verbinding maakt met toepassingen op de blockchain: met gedecentraliseerde exchanges zoals Uniswap, met leenprotocollen of met stakingdiensten. Er is geen account bij een aanbieder, geen bank en geen wachtwoordherstel. Wie de twaalf of 24 woorden van de herstelzin heeft, bezit de munten. Precies dat maakt de DeFi wallet tot de toegangspoort naar de gedecentraliseerde financiële wereld en tegelijk tot de meest gebruikte ingang voor oplichters.

Het gaat daarbij om meer dan techniek: wie ether, stablecoins of andere tokens in een DeFi wallet aanhoudt, beslist met elke bevestiging zelf wie toegang tot zijn tegoed krijgt. Gestolen bedragen haalt niemand terug. Hoe gevaarlijk dat kan zijn, laat het jaarverslag van beveiligingsdienst Scam Sniffer zien: via phishing met handtekeningen en zogeheten wallet drainers verloren gebruikers in 2025 ongeveer 83,85 miljoen dollar, verdeeld over 106.106 slachtoffers. Dat was 83 procent minder dan de 494 miljoen dollar uit 2024, maar nog altijd gemiddeld meer dan 790 dollar per geval.

Deze gids legt uit hoe een DeFi wallet werkt, welke vormen er zijn, wat er bij het verbinden met een gedecentraliseerde toepassing echt gebeurt en welke Europese regels gelden voor zelfbewaring en overboekingen. De nadruk ligt op het moment waarop de meeste verliezen ontstaan: het bevestigen van een handtekening of tokengoedkeuring.

Wat is een DeFi wallet? Zelfbewaring met je eigen private key

DeFi staat voor Decentralized Finance, dus financiële diensten die als smart contracts op een blockchain draaien. Een smart contract is een programma dat regels automatisch uitvoert zodra iemand een passende transactie stuurt. Om zulke programma's te gebruiken, heb je een adres nodig dat transacties kan ondertekenen. Die handtekening ontstaat met de private key, een lang getal waaruit je openbare adres wordt afgeleid.

Een DeFi wallet is de software die deze sleutel beheert, transacties toont en ze na jouw bevestiging ondertekent. Vakinhoudelijk heet dat zelfbewaring, in het Engels self-custody: niemand behalve jij kan een overboeking starten, en niemand behalve jij kan een verloren zin vervangen. Bekende voorbeelden zijn MetaMask voor Ethereum en compatibele netwerken, Phantom voor Solana of Trust Wallet voor veel netwerken tegelijk.

Belangrijk om te begrijpen: de munten staan nooit "in" de wallet. Het tegoed staat op de blockchain onder je adres. De wallet is alleen de sleutelbos die er toegang toe geeft. Daarom kun je hetzelfde adres in een andere wallet-app herstellen zodra je de herstelzin invoert. En daarom hoort de zin op papier of metaal op een veilige plek en nooit in een foto, een cloud of een chatvenster.

DeFi wallet en exchange-wallet: wie de sleutel heeft, beslist over de toegang

Bij een crypto-exchange zoals Coinbase, Kraken of Bitpanda heb je een klantaccount. De exchange bewaart de sleutels, voert je orders uit en is binnen de grenzen van zijn vergunning aansprakelijk. In de EU hebben zulke aanbieders sinds het einde van de overgangsperiode van de cryptoverordening MiCA een vergunning als aanbieder van cryptodiensten nodig. Vergeten wachtwoorden kun je herstellen, een supportteam controleert verdachte opnames en een melding van een ongebruikelijke transactie kan een overboeking stoppen.

Een DeFi wallet kent niets daarvan. Daar staat tegenover dat je toegang hebt tot toepassingen die een exchange niet biedt: tokens die alleen op gedecentraliseerde exchanges verhandeld worden, liquiditeitspools, on-chain leningen of stemmingen in een DAO. De afweging is dus die tussen gemak en bescherming aan de ene kant en vrijheid en eigen verantwoordelijkheid aan de andere. Veel beleggers gebruiken allebei: ze kopen ether via een gereguleerde exchange en sturen een deel daarvan naar hun eigen DeFi wallet als ze een bepaalde toepassing willen gebruiken.

Een verschil dat vaak over het hoofd wordt gezien, betreft de aansprakelijkheid. Hackt iemand een exchange, dan is de exchange tegenover zijn klanten verantwoordelijk. Onderteken je in je DeFi wallet een frauduleuze goedkeuring, dan was dat vanuit de blockchain gezien een geldige transactie. Er is geen instantie die haar terugdraait.

Browserextensie, app of hardware wallet: de drie vormen van een DeFi wallet

Browserextensie

De meest verbreide vorm is de extensie voor Chrome, Brave of Firefox. Het venster verschijnt zodra een website om een verbinding of handtekening vraagt. Dat is handig voor handelen op de computer, maar de sleutel staat versleuteld op een apparaat dat met internet verbonden is. Zo'n wallet telt daarom als hot wallet. Komt er malware op de computer, dan kan die in het ergste geval invoer meelezen of valse vensters tonen.

Mobiele app

Apps zoals Trust Wallet of de mobiele versie van MetaMask hebben een eigen browser voor gedecentraliseerde toepassingen. Je kunt de app ook via WalletConnect verbinden met een website op je computer. De smartphone is door sandbox en schermvergrendeling vaak beter beschermd dan een desktopbrowser vol extensies, maar blijft een apparaat met internettoegang.

Hardware wallet als ondertekenapparaat

Een hardware wallet is een klein apparaat dat de private key nooit verlaat. Je kunt het koppelen aan een DeFi wallet zoals MetaMask: de software toont tegoeden en toepassingen, maar de eigenlijke handtekening ontstaat pas na een druk op de knop van het apparaat. Dat beschermt goed tegen malware op de computer. Tegen een goedkeuring die je zelf bevestigt, beschermt het alleen als het scherm de transactie leesbaar toont en je die leest voordat je drukt. Welke apparaten dat betrouwbaar doen, zie je in onze vergelijking van hardware wallets.

Wallet verbinden via WalletConnect of extensie: wat de verbinding toestaat en wat niet

Klik je in een gedecentraliseerde toepassing op "Connect Wallet", dan gebeurt er eerst weinig. De site leert je openbare adres kennen en kan je tegoed uitlezen, dat iedereen op de blockchain toch al kan zien. Geld verplaatsen kan ze daarmee nog niet. WalletConnect is daarbij een open protocol dat een website via een QR-code aan je wallet-app koppelt, zonder dat de sleutel de smartphone verlaat.

Riskant wordt het pas bij de volgende stappen: de toepassing stuurt een verzoek en je wallet toont een venster met de vraag iets te ondertekenen of te bevestigen. Pas die bevestiging heeft effect. De verbinding zelf kun je in de instellingen van de wallet op elk moment verbreken. Dat haalt echter alleen de zichtbaarheid van je adres voor die site weg, niet de rechten die je een smart contract al hebt gegeven.

Een veelgebruikte truc is daarom de valse site: een kopie van Uniswap, Lido of een airdropportaal, bereikbaar via een advertentie in de zoekmachine of een link op sociale media. De verbinding ziet er onschuldig uit, de volgende bevestiging is dat niet. Lees de adresbalk voor elke verbinding en maak bladwijzers aan voor de toepassingen die je regelmatig gebruikt.

Handtekening en transactie: twee bevestigingen met heel verschillend gewicht

Een DeFi wallet kent twee soorten bevestiging. De transactie wordt naar de blockchain gestuurd, kost een vergoeding en verandert direct iets: ze maakt tokens over, voert een ruil uit of geeft een goedkeuring. De handtekening is daarentegen een digitale ondertekening van een bericht. Die kost niets, wordt niet direct verstuurd en lijkt daarom onschuldig.

Veel handtekeningen zijn dat ook, bijvoorbeeld het inloggen bij een toepassing met "Sign-In with Ethereum". Andere handtekeningen bevatten echter een volledige toestemming die een derde later zelf op de blockchain kan zetten. Daartoe horen Permit-handtekeningen volgens de standaard EIP-2612 en de verwante methode Permit2. Zo'n handtekening is juridisch gezien een ondertekende volmacht die de ontvanger op elk moment kan inlossen, zolang ze niet verlopen is.

Een goede DeFi wallet laat je daarom voor elke handtekening zien welk type wordt gevraagd. Staat er "Permit", "Spending Cap" of "Approve" samen met een token en een bestemmingsadres dat je niet kent, dan gaat het om toegang tot je tegoed. Staat er alleen een leesbare inlogtekst zonder bedrag, dan is dat doorgaans onschuldig.

Tokengoedkeuringen: waarom een onbeperkte allowance ook na het verbreken doorloopt

Voordat een smart contract je tokens mag verplaatsen, bijvoorbeeld om USDC tegen ether te ruilen, moet je het een goedkeuring geven. In vaktaal heet dat allowance of approval: het bedrag dat een bepaald contract van je adres mag afschrijven. Veel toepassingen vragen standaard een onbeperkte allowance, zodat je bij de volgende ruil geen tweede vergoeding betaalt.

De ontwikkelaars van ethereum.org beschrijven het risico duidelijk in hun handleiding voor het intrekken van tokentoegang: een eenmaal gegeven toestemming heeft geen vervaldatum en blijft ook gelden als je de toepassing allang niet meer gebruikt en je wallet hebt losgekoppeld. Wordt het contract later gehackt of was het vanaf het begin kwaadaardig, dan kan het de goedgekeurde tokens weghalen. Het intrekken zelf kost een kleine transactievergoeding en brengt volgens de handleiding geen tegoed in gevaar.

Daaruit volgt een eenvoudige gewoonte: keur, waar de wallet dat aanbiedt, alleen het bedrag goed dat je voor de huidige ruil nodig hebt. MetaMask toont daarvoor een veld "Spending Cap", waarin je in plaats van het voorgestelde maximum je werkelijke bedrag invult. Oude goedkeuringen controleer je met tools zoals Revoke.cash of de goedkeuringscontrole van Etherscan, die per netwerk alle openstaande allowances van je adres opsommen.

Permit-handtekeningen en EIP-7702: de methodes achter 83,85 miljoen dollar verlies in 2025

Volgens het jaarverslag van Scam Sniffer waren Permit-handtekeningen in 2025 de overheersende vorm van diefstal via handtekeningen. Bij de grote gevallen boven een miljoen dollar ging 38 procent van de schade naar Permit en Permit2. Het grootste afzonderlijke geval van het jaar, in september, kostte een slachtoffer ongeveer 6,5 miljoen dollar, veroorzaakt door één enkele Permit-handtekening. Onder de gevallen met meer dan een miljoen dollar schade gingen er telkens drie terug op Permit-handtekeningen en drie op klassieke Approve-goedkeuringen.

Nieuw is een aanvalsroute via EIP-7702. Deze uitbreiding kwam met de Ethereum-upgrade Pectra in mei 2025 en staat een gewoon adres toe tijdelijk de code van een smart contract te gebruiken, bijvoorbeeld om meerdere transacties te bundelen. Onderteken je zo'n delegatie aan een kwaadaardig contract, dan kan dat over je adres beschikken. Scam Sniffer telde in augustus 2025 twee gevallen met samen 2,54 miljoen dollar schade.

Voor houders van ether is dat relevant, omdat bijna al deze methodes op Ethereum en compatibele netwerken draaien. Voor de veiligheid helpt een functie die veel gebruikers over het hoofd zien: moderne wallets simuleren een transactie voor de bevestiging en tonen welke tokens je account zouden verlaten. Is dat voorbeeld leeg of onduidelijk, of waarschuwt de wallet voor een bekend fraudeadres, dan breek je af.

Gaskosten en netwerken: elke blockchain vraagt om zijn eigen brandstof

Elke transactie in een DeFi wallet kost een netwerkvergoeding, de zogeheten gas fee. Op Ethereum betaal je die in ether, op Solana in SOL. Ontbreekt de juiste munt, dan zit je tegoed vast, ook als er genoeg stablecoins op het adres staan. Dat is een van de meest voorkomende beginnersfouten: USDC naar een layer-2-netwerk zoals Arbitrum sturen en dan merken dat voor de volgende stap ether op precies dat netwerk ontbreekt.

Even belangrijk is het juiste netwerk bij het storten. Een Ethereum-adres ziet er op Arbitrum of Base hetzelfde uit. Stuur je tokens via het verkeerde netwerk naar een exchange die dat netwerk niet ondersteunt, dan zijn ze in het ergste geval verloren. Een DeFi wallet toont het actieve netwerk meestal bovenaan het venster. Valse netwerkvermeldingen met gemanipuleerde adressen van de dataverbinding zijn een andere aanvalsroute, voeg nieuwe netwerken daarom alleen toe via bekende overzichten of de officiële site van het project.

DeFi wallet en Europese regels: MiCA, de transferverordening en de grens van 1.000 euro

Voor het gebruik van een DeFi wallet heb je geen vergunning nodig, en ook de makers van pure zelfbewaringssoftware vallen niet onder de vergunningsplicht van de MiCA-verordening. Wie in plaats daarvan sleutels van anderen bewaart, zoals een exchange of een bewaarder, heeft wel een vergunning nodig; de MiCA-regels leggen de plichten van deze aanbieders vast.

Merkbaar wordt de regelgeving op het raakvlak. De EU-verordening over geldovermakingen voor cryptoactiva, Verordening (EU) 2023/1113, geldt sinds 30 december 2024. Maak je geld over van een exchange naar een adres in eigen beheer, dan moet de aanbieder gegevens over afzender en ontvanger vastleggen. Bij bedragen boven 1.000 euro moet hij volgens artikel 14, lid 5, bovendien vaststellen of het adres van jou is of door jou wordt beheerd. In de praktijk vragen exchanges daarvoor een kleine testoverboeking, een ondertekend bericht uit de wallet of een schermafbeelding als bewijs. Houd rekening met deze stap voordat je een groter bedrag naar je DeFi wallet stuurt.

Omgekeerd geldt hetzelfde bij het storten: komt er geld uit een DeFi wallet terug naar de exchange, dan kan de aanbieder vragen naar herkomst en eigendom van het adres. Houd de verbinding tussen je exchange-account en je eigen adres daarom navolgbaar. Ook ruilen tussen tokens kan gevolgen hebben voor je belastingaangifte; wat in Nederland geldt, lees je in ons overzicht over crypto en belasting.

DeFi wallet: zonder openstaande goedkeuringen grijpt een drainer mis

Een DeFi wallet is geen product dat je één keer instelt en dan vergeet. De wallet is een hulpmiddel waarvan de veiligheid afhangt van je gewoonten: aparte adressen voor experimenten en spaargeld, beperkte goedkeuringen, een blik op elke handtekening en het regelmatig opruimen van oude allowances. Voor de volgende stappen helpt het volgende:

1. Sleutels van het internet scheiden: koppel je DeFi wallet aan een ondertekenapparaat. Welke modellen transacties goed leesbaar tonen, staat in de vergelijking van hardware wallets.
2. Instappen via een aanbieder met vergunning: koop ether of stablecoins bij een platform met MiCA-vergunning en maak alleen het deel over dat je echt in DeFi gebruikt. Een overzicht biedt de vergelijking van gereguleerde platforms.
3. Vanaf het begin administratie bijhouden: lees je wallet-adressen in een belastingtool in voordat zich honderden ruiltransacties opstapelen.

(Per 13 november 2026. Dit artikel is geen beleggingsadvies. Koersen en tarieven veranderen; controleer de voorwaarden bij de aanbieder voordat je koopt.)