Tangem kaartlek maakt fysieke custody beslissend

Marktcontext per 18.50 CEST. Bitcoin noteert 63.913 dollar, 2,07 procent boven de 24-uursbodem. De koers ligt 0,99 procent onder de dagtop. Het 24-uursvolume is 27,50 miljard dollar. Binance meldt 103.516,807 BTC aan open interest, goed voor ongeveer 6,62 miljard dollar. Bron, CoinGecko koersdata en Binance futuresdata.

Tangem kaartlek is geen apphack

De kern van het Ledger Donjon onderzoek is een fysieke aanval op de kaart zelf. Onderzoekers maakten de chip bereikbaar, sloten de kaart aan op meetapparatuur en vuurden een nanoseconde-laserpuls af. Die puls liet de firmware een herstelcontrole missen.

Daardoor accepteerde de SetPin-instructie een nieuw wachtwoord zonder het bestaande wachtwoord. Er was ook geen tweede kaart nodig. Ledger schrijft dat de methode op drie kaarten is herhaald. Na het eerste werk kostte een herhaling ongeveer twee uur voorbereiding en uitvoering.

Dat is geen aanval via internet, bluetooth of een kwaadaardige app. De kaart moet in handen van de aanvaller zijn. Dat beperkt de dreiging. De behuizing wordt daarbij geopend en de chip wordt zichtbaar bewerkt. Een gestolen kaart terugleggen alsof niets is gebeurd, past niet bij dit scenario.

Waarom de patchvraag schuurt

De gevoeligste zin staat niet bij de laser, maar bij de firmware. Ledger stelt dat alle huidige Tangem kaarten geraakt zijn. Dat is geen detail. De reden is simpel: bestaande kaarten hebben geen updatekanaal voor firmware. Tangem zegt zelf in zijn firmware-uitleg dat firmware eenmalig in de chip wordt geladen.

Dat ontwerp heeft een voordeel. Een gebruiker hoeft geen kwaadaardige firmware-update van de fabrikant te vrezen. Maar dezelfde keuze maakt een latere fout hardnekkig. Als de logica eenmaal in omloop is, kan die niet via een gewone update worden aangepast.

Een Crypto.news bericht zette het nieuws vrijdag opnieuw op de agenda. Tangem bestrijdt vooral de praktische dreiging. Volgens het bedrijf vraagt de methode om fysiek bezit, dure apparatuur en gespecialiseerde kennis. Dat maakt het dagelijkse risico volgens Tangem vrijwel nihil.

De rekensom achter het custodyrisico

De CryptoFocus-rekensom zet die twee kanten naast elkaar. De labopstelling van 250.000 dollar is slechts 0,00038 procent van het wereldwijde cryptovolume van 65,01 miljard dollar. Tegen het 24-uursvolume van Bitcoin is het 0,00091 procent. Voor de markt is dit dus klein geld. Een dief rekent anders.

Voor een gewone houder is het juist groot. De aanval loont pas bij doelwitten waarbij bezit van de kaart, voorbereiding en reputatierisico opwegen tegen de buit. Daarom verandert dit nieuws minder aan dagelijkse marktprijzen dan aan de manier waarop mensen hun fysieke back-up behandelen.

Het echte signaal zit bij verloren kaarten. Wie merkt dat een hardwarewallet weg is, moet dat behandelen als een beveiligingsmelding. Wachten omdat de aanval duur is, blijft een gok. Nieuwe sleutels aanmaken en tegoeden verplaatsen is dan schoner dan hopen dat niemand de kaart kan uitlezen.

Wat dit betekent voor de Nederlandse belegger

Voor Nederlandse beleggers raakt dit aan de grens tussen platformrisico en eigen beheer. MiCA gaat vooral over aanbieders, handelsplatformen en informatieplichten. ESMA noemt onder MiCA onder meer transparantie, vergunningen en toezicht op transacties. Een kaart in je la blijft ondertussen je eigen operationele risico.

Daarom is de praktische les nuchter. Leg niet alle waarde op een losse kaart die ook kan verdwijnen. Gebruik waar nodig meerdere wallets, bewaar herstelmateriaal gescheiden en behandel een verdwenen kaart direct als incident. Lees daarnaast onze uitleg over MiCA 2.0 voor het verschil tussen toezicht op aanbieders en eigen sleutelbeheer.

Een illustratie maakt dat concreet. Bij 1.000 euro aan crypto op een verloren kaart is de kans op een labaanval klein. Maar het mogelijke verlies is wel 1.000 euro. De juiste vraag is dus niet of de aanval goedkoop is. De vraag is hoe snel je oude sleutels buiten gebruik zet.

Waar we nu op letten

De volgende stap ligt bij Tangem. Het bedrijf kan uitleggen of nieuwe kaartreeksen extra controles krijgen rond wachtwoordherstel. Ook kan het duidelijker maken wat gebruikers moeten doen na verlies of diefstal. Dat is belangrijker dan een woordenstrijd tussen twee hardwarewalletmakers.

Voor de markt blijft dit voorlopig een beveiligingsverhaal, geen koersmotor. Bitcoin houdt stand rond 64.000 dollar, terwijl open interest ruim 6,6 miljard dollar bedraagt. De kaart blijft de grens. Pas wanneer gebruikers aantoonbaar naar andere wallets verhuizen, krijgt dit nieuws bredere marktkracht.

Dit artikel is informatief en geen financieel advies. Beleggen in crypto-activa brengt risico op verlies met zich mee. Doe eigen onderzoek naar de voorwaarden, de fiscale gevolgen en de eigen risicobereidheid. Raadpleeg bij twijfel een onafhankelijk adviseur voordat je kapitaal inzet.