- >News
- >Is Ledger nog steeds veilig? De controverse over het beveiligingsprobleem in crypto
Is Ledger nog steeds veilig? De controverse over het beveiligingsprobleem in crypto
De ongenadige beveiligingsaanpak van crypto is vanaf het begin al problematisch te noemen. Ja, jij bent degene met toegang en degene die de bitcoin kan verplaatsen mits jij degene bent met de private key tot jouw Bitcoin wallet. Dat is heel veilig. Dit betekent ook echter, sleutel kwijt is BTC kwijt. Dat is daadwerkelijk meer dan een paar pechvogels overkomen in de korte geschiedenis van crypto. Er bestaan talloze verhalen van mensen die tevergeefs proberen verloren geld terug te krijgen.
Ledger heeft kortgeleden een poging gedaan om mensen in deze situatie te helpen met de aankondiging van Ledger Recover, een dienst waarmee eigenaren van de Ledger-hardware wallet Nano X de seed phrase kunnen ophalen die het mogelijk maakt de wallet te herstellen. In principe leek het een handige en gebruiksvriendelijke dienst waarmee wallet eigenaren nooit hun crypto konden verliezen, ook als ze de fysieke of digitaal opgeslagen seed phrase kwijtraakten.
Een groot deel van de crypto gemeenschap reageerde echter met schok en verontwaardiging op de aankondiging van Ledger en beschuldigde de fabrikant van de wallet van het onbedoeld introduceren van een mogelijke achterdeur naar de apparaten. Ledger heeft deze zorgen nog niet weten te sussen. Wel is het duidelijk dat er zoiets als Recover nodig is bij de algemenere invoering van crypto met meer zelf-controle. Gezien het groeiende aantal beurs hacks en faillissementen is dat een steeds grotere noodzaak.
Ledger Recover ontvangt kritiek ondanks aanmeldingsfuncties
Ledger Recover is in principe eenvoudig te begrijpen. De dienst splitst de seed phrase van een wallet tot drie versleutelde delen die worden opgeslagen bij drie verschillende providers (Ledger, Coincover en EscrowTech). Als iemand de zelfbewaarde versie van de seed phrase kwijtraakt, kan de toegang tot de seed phrase zo dus weer hersteld worden.
De seed phrase van een cryptowallet is een reeks van 12 of 24 willekeurig gegenereerde woorden die de eigenaar van de wallet kan gebruiken om zijn privésleutels op te halen. Deze moet ingevuld worden om geld uit de wallet over te maken. Met andere woorden, als jij je privésleutels kwijt bent, gebruik je de seed phrase om ze terug te krijgen. Ledger was met Recover van plan om daar nog een extra laag aan toe te voegen, zodat je een manier hebt om te herstellen wat je nodig hebt om de sleutels terug te krijgen.
Ledger legt op de website uit dat bij registratie voor Recover de identiteit geverifieerd moet worden met een identiteitsbewijs, vanwege KYC-maatregelen (know your customer) ter verificatie dat jij het echt bent en er geen oplichting plaatsvindt. KYC stelt eigenaren van wallets ook in staat om de versleutelde fragmenten van hun seed recovery phrase terug te halen, maar de fragmenten zijn op zichzelf nutteloos.
Bron: Twitter
Verder bevestigt Ledger dat Recover een dienst is waarvoor men zich kan aanmelden, deelname is niet verplicht als de eigenaar dat niet wilt. Alsnog kwam er een flinke hoeveelheid kritiek, vooral vanuit angst dat hackers de dienst op een of andere manier als aanvalsvector kunnen gebruiken.
Zo schreef bijvoorbeeld crypto-investeerder Ryan Berckmans op Twitter: “De Ledger firmware v2.2.1 installeert Ledger Recover, een onzorgvuldige dienst die de privésleutels van je hardware wallet oppakt en via het internet verstuurt.” Hij was niet de enige die ontevreden is met de aankondiging door het Franse bedrijf. Web3-adviseur Vanessa Harris suggereerde dat de dienst “er gewoon om vraagt uitgebuit te worden.”
De kern van de kritiek is dat Ledger-apparaten, met de komst van Ledger Recover, firmware krijgen die privésleutels van een wallet via het internet kan versturen. Ledger heeft ter verdediging meerdere keren bevestigd dat gebruikers zich vrijwillig kunnen aanmelden voor de dienst om de functie te gebruiken en dat privésleutels zonder identiteitsbewijs niet opnieuw kunnen worden samengesteld. Maar de vrees blijft bestaan dat, nu deze kernfunctie in de code van de apparaten is geschreven, ambitieuze hackers een manier gaan vinden om er misbruik van te maken.
Trezor heeft een verkooppiek, Ledger stelt uitrol uit
Gezien deze angst is het geen verrassing dat Trezor een stijging van 900% in de verkoop van zijn apparaten rapporteert, maar daar wordt geen toelichting of data bij gegeven. Maar aangezien sommigen roepen dat Ledger “de eigen reputatie heeft kapot gemaakt”, is het volkomen aannemelijk dat de verkoop van Trezor is gestegen. Ook heeft in de nasleep van de ophef het beveiligingsbedrijf Unciphered aangekondigd in staat te zijn de hardware wallet Trezor T fysiek te hacken en dat de bug “op chipniveau niet te repareren is”.
Uiteraard zit Ledger zelf ook niet stil terwijl de gemeenschap deze zorgen uitspreekt. Het bedrijf heeft in een blogpost aangekondigd de lancering van Recover uit te stellen en de code open source te maken, zodat ontwikkelaars en leden van de gemeenschap de code zelf kunnen controleren (en dus mogelijk zien dat het veilig is).
Ook is er een Ledger Recover FAQ geplaatst die direct antwoord geeft op veelgestelde vragen en verzoeken van de gemeenschap. Daarin wordt bevestigd dat de privésleutel van een apparaat alleen toegankelijk is “nadat dit handmatig is goedgekeurd en bevestigd” op het apparaat. Ook staat er dat er geen beveiligingsvoordeel bestaat in de keuze voor twee aparte besturingssystemen (in reactie op suggesties van criticasters) waarbij de ene de Recover-mogelijkheid heeft en de andere niet.
Pascal Gauthier, CEO van Ledger, heeft wel de theoretische mogelijkheid erkend dat een door de Recover ondersteunde seed phrase-dienst onderworpen kan zijn met een dagvaarding van de overheid waarmee de drie onafhankelijke providers gedwongen zouden zijn de fragmenten van de phrase te overhandigen. Dat onderstreept het harde feit dat elke beveiligingsoplossing zijn eigen problemen introduceert, inclusief Recover. Ondanks de mogelijke gebreken vinden sommigen in de gemeenschap dat de dienst nodig kan zijn voor mensen met onvoldoende technische expertise om de seed recovery phrases zelf veilig op te slaan.
In zekere zin is Recover een positieve en belangrijke stap richting betere toegankelijkheid van zelfbewaring voor veel meer mensen, gezien de genadeloze gevolgen van het verlies van privésleutels. Zo schat Glassnodes dat er ongeveer drie miljoen BTC, met een waarde van ongeveer $ 83,46 miljard, permanent verloren is gegaan. Dat onderstreept het nadeel van het ultra strenge beveiligingssysteem van bitcoin. We weten nu dus dat er zoiets als Recover nodig is als er meer particuliere en institutionele beleggers willen instappen in crypto. Ook als Ledger de details van de nieuwe dienst niet precies goed heeft, is dit toch een stap in de juiste richting.
