Een ontvangstadres kopiëren uit je walletapp is nog geen volledige controle. Bij een hardwarewallet hoort daar een vergelijking met het scherm van het apparaat bij. Vooral het moment telt: controleer ook het adres nadat je het in het opnameformulier van een beurs of een andere wallet hebt geplakt.
| Wat je moet weten |
|---|
| Malware kan een adres in een app of op het klembord vervangen. |
| Vergelijk het volledige ontvangstadres met het scherm van je hardwarewallet. |
| Controleer bij verzenden de ontvanger en het bedrag voordat je tekent. |
| Een overeenkomend adres bewijst niet dat de ontvanger betrouwbaar is. |
De uitleg van Trezor over het apparaatscherm beschrijft verschillende plekken waar het mis kan gaan. Een valse app kan een ander adres tonen. Malware kan de inhoud van het klembord vervangen. Ook een mislukte kopieeractie kan ervoor zorgen dat je een eerder gekopieerd adres plakt. Alleen kijken naar het adres in de ontvangende app slaat die laatste stap over.
Vergelijk twee schermen bij het ontvangen
Laat het ontvangstadres op de hardwarewallet zien. Plak het adres vervolgens in de toepassing waarmee je de opname of overboeking uitvoert en vergelijk dat volledige adres met het apparaat. Volgens Trezor moet juist de vergelijking met de verzendende toepassing de controle afronden. Wijkt het adres af, voer de overdracht dan niet uit.
Ook Ledger schrijft in zijn ontwikkelaarsrichtlijn voor dat het apparaat het volledige adres toont om het met de software te vergelijken. Daar staat bovendien een nuttig onderscheid: een ontvangstadres bevestigen is een andere handeling dan een transactie ondertekenen. In de beschreven interface krijgt adrescontrole een gewone bevestigingsknop; langer indrukken is bestemd voor het tekenen van transacties en berichten die de blockchainstatus of het saldo kunnen beïnvloeden.
Het scherm controleert geen zakenpartner
Bij een uitgaande betaling verschuift de vraag: welk adres en welk bedrag staan er op het apparaat voordat je toestemming geeft? De beveiligingsanalyse van Ledger Donjon legt uit waarom een afzonderlijk scherm en fysieke invoer samen nodig zijn. Een aanvaller op de computer kan andere informatie tonen; invoer op het apparaat moet de toestemming van de gebruiker beschermen. Die beveiliging hangt volgens Ledger mede af van de echtheid van het apparaat, de integriteit van de firmware en de apparaatarchitectuur.
Daaruit volgt een beperkte, praktische conclusie. Overeenstemming tussen de schermen helpt een vervangen adres te ontdekken, maar beoordeelt niet de afspraak achter de betaling. Trezor waarschuwt uitdrukkelijk dat het apparaat niet kan vaststellen of iemand je het juiste bestemmingsadres heeft gegeven. Een oplichter kan dus zelf een adres aanleveren dat je vervolgens foutloos controleert en ondertekent. Controleer daarom ook via een betrouwbare route van wie het bestemmingsadres afkomstig is.
