Hardware wallet na het datalek: vier manieren om te bestellen zonder je woonadres

Een hardware wallet beschermt je sleutels betrouwbaar, je woonadres beschermt hij niet. Het korte antwoord op de vraag hoe je beide combineert: je laat het apparaat bezorgen bij een pakketautomaat, een postkantoor of een ander afhaalpunt, of je koopt het meteen in de winkel. Dan staat in de bestellingendatabase van de verkoper je naam naast het nummer van een kluisje in plaats van naast je voordeur.

Dat dit verschil geen gril is van overvoorzichtige mensen, bleek in oktober. Binnen enkele maanden hebben meerdere aanbieders uit de bewaarbranche toegegeven dat klantgegevens zijn uitgelekt. Geen enkele keer ging het daarbij om sleutels of tegoeden. Elke keer ging het om namen, telefoonnummers en afleveradressen van mensen van wie nu vastligt dat ze cryptovaluta bezitten.

Waarom de sleutels veilig blijven en het adres toch uitlekt

Een hardware wallet is een klein apparaat dat je privésleutel aanmaakt en die nooit meer prijsgeeft. De herstelzin, de reeks van meestal twaalf of vierentwintig woorden waarmee alle sleutels opnieuw te berekenen zijn, ontstaat op het apparaat en verlaat het bij normaal gebruik niet. Als je een overboeking goedkeurt, verlaat de sleutel het apparaat niet; naar de computer gaat alleen de kant-en-klaar ondertekende transactie. De verkoper bij wie je het apparaat hebt gekocht merkt daar niets van, omdat hij technisch helemaal niet betrokken is.

Daaruit volgen tegelijk een geruststellend en een onaangenaam feit. Het geruststellende: een inbraak in de webwinkel van een fabrikant kan je tegoeden niet raken. Wie zijn Bitcoin al jaren op zo'n apparaat heeft staan, hoeft na een probleem bij de webwinkel niets te verplaatsen en niets opnieuw in te stellen. Het onaangename: de webwinkel zelf is een heel gewone onlinewinkel met een heel gewone klantendatabase. Daarin staan voornaam, achternaam, straat, huisnummer, woonplaats, land, vaak het telefoonnummer, het e-mailadres en de lijst van bestelde artikelen met prijs.

Die combinatie is het probleem. Een gestolen adreslijst van een meubelzaak verraadt dat iemand een bank heeft gekocht. Een gestolen adreslijst uit de winkel van een walletfabrikant verraadt dat iemand thuis cryptovaluta bewaart, hoe duur het gekochte model was en daarmee grofweg hoe serieus het hem is. De dataset is een voorselectie die een aanvaller anders moeizaam zelf zou moeten maken.

Keystone en Trezor: op welke plek in de bestelketen de gegevens lagen

Keystone heeft het incident naar eigen zeggen op 20 oktober opgemerkt en op 23 oktober, na navraag bij zijn webwinkelplatform Shopify, bevestigd dat een derde toegang had gekregen tot verzendgegevens van klanten. Openbaar gemaakt heeft het bedrijf de zaak op 24 oktober, samen met excuses. Volgens het bedrijf gaat het om namen, contactgegevens, afleveradressen en bestelgegevens tot en met artikelen en prijzen. Betaalkaartgegevens, bankgegevens, herstelzinnen, privésleutels en walletwachtwoorden zouden niet zijn uitgelekt. Hoeveel klanten getroffen zijn, heeft Keystone tot op heden niet gezegd. De details van deze zaak staan in ons verslag over het bevestigde datalek bij Keystone.

Bij Trezor zat het lek nog een laag verder naar buiten. De fabrikant meldde op 13 augustus dat gegevens van 13.689 klanten op straat lagen, nadat zijn logistieke dienstverlener ShipMonk drie dagen eerder ongeautoriseerde toegang had gemeld. Bij 11.742 getroffenen ging het om naam, afleveradres, telefoonnummer en e-mailadres, bij nog eens 1.947 om naam, woonplaats en e-mailadres. Het trof bestellingen die tussen 10 mei en 8 augustus waren verzonden, onder meer naar de Verenigde Staten, het Verenigd Koninkrijk, Zweden, Italië en Portugal. Begin september kwam de onaangenamere helft: in de gestolen bestanden zaten ook oude bestelgegevens uit een eerdere samenwerking in de jaren 2019 tot en met 2021, zo'n 67.000 extra records in de Verenigde Staten alleen. Volgens Trezor hadden die oude gegevens volgens het contract allang verwijderd moeten zijn. Wat getroffenen ermee kunnen, hebben we beschreven in ons artikel over het Trezor-lek.

In beide gevallen geldt dezelfde bevinding: de apparaten en de systemen van de fabrikanten bleven onaangetast. Lek was de keten die een bestelling van het invulformulier tot aan de voordeur brengt.

Webwinkelplatform, opslagdienstverlener, analysetool: wie er tussen fabrikant en brievenbus staat

Wie online een apparaat bestelt, heeft een zakelijke relatie met precies één bedrijf. Zijn gegevens gaan echter door meerdere handen. Eerst is er het webwinkelplatform waarop de winkel draait; Keystone noemt hier Shopify, en Shopify stond al in 2020 in het middelpunt van de tot nu toe grootste zaak van deze soort. Destijds werden namen, e-mailadressen, postadressen en telefoonnummers van zo'n 272.000 klanten van Ledger gepubliceerd; later corrigeerde het bedrijf het aantal tot ongeveer 292.000, omdat Shopify extra getroffenen meldde. De gegevens doken in december 2020 op in een hackersforum, samen met ruim een miljoen e-mailadressen. Ook toen waren sleutels en tegoeden niet getroffen, en ook toen hielp dat de getroffenen weinig: minstens één koper vertelde later dat hij na bedreigingen was verhuisd.

Dan is er de opslag- en verzenddienstverlener die de goederen inpakt en overdraagt. Die heeft het volledige adres nodig, anders kan hij niets bezorgen. In het geval van ShipMonk kwam er volgens de meldingsbrieven die het vakmedium BleepingComputer inzag nog een derde laag bij: de aanvallers benutten een kwetsbaarheid in de analysetool Metabase, software die de dienstverlener voor zijn eigen cijfers gebruikt. De koper van een hardware wallet heeft nooit van die software gehoord, en toch lagen zijn gegevens binnen haar bereik.

Het patroon is daarmee helder te beschrijven. Hoe langer de keten tussen bestelling en brievenbus, hoe meer plekken er zijn waar hetzelfde adres ligt, en hoe meer contracten er staan tussen jou en het bedrijf dat het uiteindelijk kwijtraakt. Geen fabrikant kan je garanderen dat elke schakel van die keten zorgvuldig werkt. Jij kunt er wel voor zorgen dat het adres dat door die keten gaat, niet het adres is waar je slaapt.

Vier bestelroutes, en wat ze de verkoper telkens verraden

De vier routes kosten voor het apparaat hetzelfde. Verschillend is alleen welke dataset er uiteindelijk ontstaat. De eerste loopt via een afhaalstation, de tweede via een vestiging van de bezorger, de derde via de aankoop in de winkel, de vierde ziet af van een fysiek apparaat. Alle vier zijn zonder meer haalbaar, en geen enkele vraagt dat je je tegenover de verkoper anders voordoet of valse gegevens opgeeft. Dat zou niet nodig en ook niet verstandig zijn, omdat garantie en retour afhangen van correcte gegevens.

De pakketautomaat neemt het pakket aan zonder je woonadres

De meest directe route is een afhaalstation. Bij DHL heet die Packstation, bij andere bezorgers bestaan afhaalpunten met andere namen en hetzelfde principe: je krijgt een klantnummer, geeft als afleveradres het nummer van het station op en haalt het pakket daar op wanneer het je uitkomt. In de database van de verkoper staat dan je naam, een postnummer en het adres van een automaat op een supermarktparkeerplaats. Een aanvaller die deze lijst in handen krijgt, weet dat je een hardware wallet hebt gekocht, maar niet waar je woont.

Voor ontvangers kost het gebruik geen meerprijs; aanmelden gaat via het klantaccount bij de bezorger. Er horen twee beperkingen bij. Ten eerste ligt je echte adres nog steeds bij de bezorger zelf, omdat het klantaccount het kent; je verplaatst het dus van veel plekken naar één. Ten tweede hebben afhaalstations vakmaten en bewaartermijnen, wat bij een apparaat zo groot als een sigarettendoosje overigens zelden een probleem is.

Bezorging bij een vestiging of postkantoor: de route zonder eigen account bij de bezorger

Wie zich nergens wil aanmelden, kan het pakket naar een vestiging laten sturen. Als afleveradres dient dan het adres van de vestiging, aangevuld met je naam; ophalen gaat met een identiteitsbewijs. De dataset bij de verkoper ziet er daarmee net zo onschuldig uit als bij het afhaalstation, en je hebt geen extra account nodig. De prijs daarvoor zijn openingstijden en soms een rij.

Een variant die vaak over het hoofd wordt gezien: veel bezorgers bieden aan een zending achteraf naar een vestiging om te leiden zolang ze nog onderweg is. Dat helpt echter maar beperkt, want de verkoper heeft je woonadres dan allang opgeslagen. Voor het doel waar het hier om gaat, telt alleen wat er bij het bestellen in het adresveld wordt ingevuld.

Een aankoop in de winkel laat helemaal geen leveringsgegevens ontstaan

De schoonste route is de oudste. Wie het apparaat in een elektronicazaak of bij een gespecialiseerde cryptowinkel over de toonbank koopt en contant betaalt, laat geen afleveradres achter, omdat er geen levering plaatsvindt. Daaraan verbonden is wel een tweede afweging, waarover al jaren wordt gediscussieerd: de vraag of een apparaat uit het schap gemanipuleerd kan zijn.

De fabrikanten beantwoorden dat met procedures die iedereen zelf kan bekijken. Serieuze apparaten controleren bij de eerste start of hun software echt is, en ze eisen dat je de herstelzin zelf op het apparaat aanmaakt. Een apparaat dat je een kant-en-klare zin op een bijgevoegd briefje presenteert, moet je in elk geval weggooien, of het nu uit de winkel of uit een pakket komt. Wie deze controle bij de eerste installatie serieus neemt, haalt met een winkelaankoop geen extra gevaar in huis en bespaart zich een dataset.

De software wallet heeft geen verzending nodig, maar kost veiligheid

De vierde route gaat aan het pakket voorbij. Een software wallet op de telefoon of de computer wordt gedownload, niet geleverd, en levert daarom geen verzendgegevens op. Voor kleinere bedragen, voor eerste stappen en voor tegoeden waarmee je regelmatig betaalt, is dat een verdedigbare oplossing.

Eerlijk blijft de vergelijking alleen met de keerzijde erbij. De sleutel ligt daar op een apparaat dat aan het internet hangt, bestanden opent en extensies uitvoert. Juist via zulke extensies zijn de afgelopen maanden tegoeden verdwenen. De keuze tussen beide vormen is daarom geen keuze tussen veilig en onveilig, maar tussen twee verschillende risico's: bij het geleverde apparaat riskeer je dat je adres bekend wordt, bij de gedownloade app dat je computer wordt gecompromitteerd. Wie grotere bedragen aanhoudt, neemt doorgaans het eerste risico op de koop toe en verkleint het via de bestelroute.

Wat de bestelroute niet oplost: betaalgegevens, factuur en garantie

Een afhaalstation maakt je niet onzichtbaar. Drie dingen blijven ook dan bij de verkoper. Het factuuradres, dat bij de meeste betaalmethoden wordt vergeleken met de gegevens van de betaaldienstverlener en daarom moet kloppen. Het e-mailadres waarlangs orderbevestiging en bezorgstatus lopen. En het betaalspoor zelf, waaruit afhankelijk van de methode naam en bank af te leiden zijn.

In de praktijk betekent dat: wie ook het factuuradres niet wil prijsgeven, moet voor een winkelaankoop kiezen. Wie ermee kan leven dat naam en factuuradres bij de verkoper liggen, maar het afleveradres niet in elke logistieke database opduikt, is met route een of twee goed geholpen. Garantie en herroeping hangen overigens van geen van deze keuzes af; ze gelden ongeacht waar is geleverd.

Je naam ligt al op straat: inzage op grond van artikel 15 AVG

Voor iedereen die vóór oktober heeft besteld, komt de bestelroute te laat. Daarvoor geldt het privacyrecht, en dat geldt ook tegenover fabrikanten buiten Europa, zolang die leveren aan klanten in de Europese Unie. Twee plichten treffen het bedrijf uit zichzelf: op grond van artikel 33 van de Algemene verordening gegevensbescherming (AVG) moet het een datalek binnen 72 uur nadat het ervan weet melden bij de bevoegde toezichthouder. Op grond van artikel 34 moet het bovendien de getroffenen onverwijld informeren zodra er een hoog risico voor hun rechten bestaat, en wel in duidelijke en eenvoudige taal, met informatie over de aard van het lek, de waarschijnlijke gevolgen en de genomen maatregelen.

Daar komt een recht bij dat je zelf kunt uitoefenen. Het inzagerecht op grond van artikel 15 verplicht de verkoper je te vertellen welke gegevens hij over je verwerkt, waar hij ze vandaan heeft, aan wie hij ze doorgeeft en hoe lang hij ze bewaart. Juist die derde vraag is na de recente zaken de interessantste, want ze brengt de keten van dienstverleners aan het licht waarover tijdens het bestellen nooit is gesproken. Een vormvrije e-mail aan het adres in het colofon volstaat; een termijn van een maand is de regel.

Verwijdering en schadevergoeding: wat artikel 17 en artikel 82 opleveren

Uit de inzage volgt de volgende stap. Wie geen klant meer is, kan op grond van artikel 17 verwijdering van zijn gegevens eisen; bewaarplichten uit handels- en belastingrecht gaan voor en betreffen vooral facturen, niet elke marketinglijst. De zaken van de afgelopen maanden laten zien waarom dat meer is dan papierwerk: bij Keystone meldden zich kopers van wie de bestelling meer dan twee jaar terug lag, terwijl het bedrijf in zijn privacyverklaring verwijdering na 180 dagen in het vooruitzicht had gesteld. Bij Trezor zaten oude bestellingen uit de jaren 2019 tot en met 2021 in de gestolen bestanden, die volgens de fabrikant contractueel allang verdwenen hadden moeten zijn.

Blijft de vraag naar geld. Artikel 82 geeft getroffenen recht op vergoeding van ook immateriële schade. Het Bundesgerichtshof heeft op 18 november 2024 in een zaak over het buitmaken van gegevens bij Facebook geoordeeld dat al het enkele en kortstondige verlies van controle over de eigen persoonsgegevens zo'n schade kan vormen; aangetoond misbruik of andere voelbare gevolgen eist het hof daarvoor niet. Een vast bedrag heeft het echter niet genoemd, en het controleverlies moet per geval worden aangetoond. Wie daarover nadenkt, bewaart het meldingsbericht van de verkoper, omdat dat het eenvoudigste bewijs is dat de eigen gegevens in het getroffen bestand zaten.

52 geregistreerde overvallen in het eerste halfjaar: het fysieke risico in cijfers

Waarom een afleveradres zwaarder weegt dan een e-mailadres, is in cijfers uit te drukken. Analysebedrijf CertiK telde voor de eerste helft van 2026 in totaal 52 bevestigde fysieke aanvallen op houders van cryptovaluta, tegenover 39 in dezelfde periode een jaar eerder. De geregistreerde financiële schade steeg volgens dezelfde analyse van 10,5 naar zo'n 124,1 miljoen dollar. Opvallend is de verdeling: 39 van de 52 gevallen vonden plaats in Europa, 33 alleen al in Frankrijk. Ook de werkwijze is verschoven, want overvallen in de woning stegen van één geregistreerd geval naar 20, ontvoeringen van 12 naar 16.

Deze cijfers vragen om duiding, en CertiK levert die zelf mee. Het bedrag omvat losgeldeisen en afgedwongen overboekingen, maar ook bevroren of teruggehaalde waarden, en is dus geen opgave van daadwerkelijke buit. Tegelijk wijst het bedrijf erop dat zulke daden sterk ondergeregistreerd zijn. Voor de beoordeling van een uitgelekte adreslijst blijft de kern overeind: wie een lijst heeft van huishoudens waar met enige waarschijnlijkheid cryptovaluta liggen, heeft een voorselectie. Als tegenmiddel raadt CertiK onder meer verdelingen aan waarbij één persoon niet alleen over het tegoed kan beschikken, zoals een multisig-wallet met meerdere sleutels, daarnaast vertragingen bij uitbetalingen en duidelijke afspraken in de familie.

De truc na elk lek: valse terugroep- en vervangingsmails

Het meest voorkomende gevolg van een adreslek is minder spectaculair en treft meer mensen. Keystone heeft zelf gewaarschuwd dat oplichters zich voordoen als medewerkers van het bedrijf en terugbetalingen of vervangende apparaten aanbieden. Het patroon is in deze branche al jaren hetzelfde: er komt een bericht dat het echte incident correct beschrijft, je juiste naam noemt, vaak ook het bestelde model, en daaruit een dringend aanbod afleidt. Een gratis vervangend apparaat, een zogenaamde beveiligingsupdate, een formulier voor schadevergoeding.

De tegenregel is kort en kent geen uitzondering. Geen fabrikant en geen verkoper vraagt ooit naar je herstelzin, niet per e-mail, niet aan de telefoon en niet via een formulier, ook niet ter controle en ook niet voor een terugbetaling. Wie de woorden invoert, verliest zijn tegoed op het moment dat hij op verzenden drukt, en wel definitief, omdat een blockchainoverboeking niet terug te halen is. Een ongevraagd toegestuurd apparaat leg je ongebruikt opzij en meld je bij de fabrikant. Waaraan je zulke berichten in detail herkent, staat in onze gids over phishing na een datalek.

Hardware wallet bestellen: de pakketautomaat kost geen meerprijs

De bescherming van je sleutels en de bescherming van je adres zijn twee verschillende taken, en de tweede doet geen apparaat voor je. Drie stappen volstaan.

1. Wijzig het afleveradres voordat je het volgende apparaat bestelt. Een afhaalstation of een vestiging als afleveradres kost niets en neemt de langste keten haar waardevolste dataset af. Welk apparaat bij je bewaartermijn en je bedrag past, staat in de vergelijking van hardware wallets.
2. Zie voor kleine bedragen helemaal af van verzending. Wat je dagelijks gebruikt, heeft geen pakket nodig. Een software wallet volstaat daarvoor, met de grenzen die hierboven zijn beschreven.
3. Bind niet alles aan een bekend adres. Een deel van je bezit bij een aanbieder onder toezicht verkleint wat er thuis ligt en brengt een ander risico mee dat je moet kennen; aanbieders onder MiCA vind je in onze vergelijking om bitcoin te kopen.

(Per 26 oktober 2026. Dit artikel is geen beleggingsadvies. Koersen en tarieven veranderen; controleer de voorwaarden bij de aanbieder voordat je koopt.)