Cold storage stap voor stap opzetten

Cold storage opzetten betekent dat je je sleutels genereert op een apparaat dat nooit met internet in aanraking komt, de herstelzin (seed phrase) offline back-upt, met een kleine test bewijst dat de back-up werkt en pas daarna echt geld verplaatst. Het hele proces kost een middag en 60-200 dollar voor een hardwarewallet, en de volgorde van de stappen doet er meer toe dan welke productkeuze ook: de meeste cold-storagedrama's overkomen mensen die de verificatiestappen hebben overgeslagen, niet mensen die het verkeerde apparaat hebben gekocht.

Wat cold storage is (en niet is)

"Cold" betekent dat de private sleutels leven op hardware die nooit wordt blootgesteld aan een met internet verbonden omgeving. Een hardwarewallet bewaart sleutels in een speciale chip en ondertekent transacties intern, zodat de sleutels het apparaat nooit verlaten, zelfs niet als het in een geïnfecteerde computer is gestoken. Zet dat af tegen een "hot" wallet – een browserextensie of telefoon-app waarvan de sleutels op een algemeen, online apparaat staan.

Cold storage is voor sparen, niet voor uitgeven. Het juiste denkmodel is een betaalrekening (kleine hot wallet voor dagelijks gebruik) en een kluis (cold storage met het grootste deel). Als je regelmatig met DeFi werkt of NFT's mint, doe dat dan vanuit de hot wallet met beperkt geld; de cold wallet hoort bijna niets te doen behalve ontvangen en, zelden, versturen.

Deze gids behandelt de workflow. Hoe hardwarewallets intern werken en hoe je tussen fabrikanten kiest, komt aan bod in een aparte gids in dit leerpad, net als de diepere details van wat een herstelzin is.

Stap 1: koop schoon en richt een schone ruimte in

Koop de hardwarewallet rechtstreeks bij de fabrikant of een erkende wederverkoper – nooit tweedehands, en wees voorzichtig met aanbiedingen op marktplaatsen van derden, waar gemanipuleerde of vooraf geconfigureerde apparaten zijn verkocht. Controleer bij ontvangst of de verpakking intact is en of het apparaat van je verlangt een nieuwe herstelzin te genereren. Een apparaat dat al wordt geleverd met een herstelzin op een kaartje of met "jouw pincode" erbij is oplichting, bedoeld om je te laten storten op de wallet van een aanvaller. Echte fabrikanten leveren nooit een vooraf gegenereerde herstelzin mee.

Richt je werkplek in: een privékamer, geen camera's (ook je eigen webcam en telefoon niet), een pen en de meegeleverde herstelkaartjes of blanco papier. In de volgende stap ga je om met het gevoeligste geheim van dit hele systeem; behandel de ruimte daarnaar.

Stap 2: genereer de herstelzin op het apparaat

Doorloop de initialisatie van het apparaat: stel een pincode in (6-8 cijfers die je nergens anders gebruikt) en laat het apparaat dan een nieuwe herstelzin genereren en op zijn eigen scherm tonen. Twee regels zijn absoluut:

• De herstelzin wordt op het apparaat gegenereerd, door het apparaat. Accepteer nooit een herstelzin van een website, een app, een e-mail of "support". Typ een herstelzin nooit in iets anders dan een hardwarewallet bij een bewuste herstelprocedure.
• De herstelzin wordt alleen op papier (of metaal) vastgelegd, met de hand. Geen foto's, geen cloudnotities, geen wachtwoordmanager, niet "even tijdelijk" in een tekstbestand. Een herstelzin die ooit in digitale vorm op een online apparaat heeft bestaan, moet je als blootgesteld beschouwen.

Schrijf de woorden op volgorde, genummerd, in leesbaar handschrift. Controleer de spelling dubbel aan de hand van het scherm van het apparaat – herstelwoorden komen uit een vaste lijst van 2.048 woorden, en een verkeerd gelezen "brief" in plaats van "bridge" kan je de wallet kosten.

Stap 3: controleer de back-up voordat je geld stort

Dit is de stap die mensen overslaan, en het is degene die je redt. De meeste apparaten bieden een ingebouwde controle waarbij je de herstelwoorden opnieuw invoert; doe dat. Nog beter is een volledige herstel-oefening: wis het apparaat (of gebruik je tweede apparaat als je er twee hebt gekocht) en herstel de wallet uitsluitend met je opgeschreven woorden. Als de herstelde wallet dezelfde ontvangstadressen toont, is je back-up bewezen. Als je het niet over je hart kunt verkrijgen het apparaat te wissen, gebruik dan minimaal de herstelzincontrole van het apparaat.

Denk dan aan duurzaamheid. Papier overleeft decennia in een lade, maar geen woningbrand of overstroming. Gestanste of gegraveerde metalen back-upplaatjes (ruwweg 20-50 dollar) overleven beide. Een gebruikelijke opzet: één kopie thuis op een plek die alleen jij kent, één kopie op een echt andere plek – een bankkluis of de kluis van een vertrouwd familielid. Twee kopieën in hetzelfde gebouw is één kopie. Weersta ook de neiging om slim te doen: de herstelzin in twee helften splitsen en apart bewaren, woorden herordenen of zelfgemaakte codes hebben veel meer eigenaren buitengesloten dan dieven tegengehouden.

Stap 4: de testtransactie

Verplaats je volledige saldo nooit in één overboeking naar een nieuwe opzet. De testvolgorde:

1. Genereer een ontvangstadres op de hardwarewallet en controleer het op het eigen scherm van het apparaat, niet alleen in de bijbehorende app – malware kan herschrijven wat je computer toont.
2. Stuur eerst een klein bedrag – bijvoorbeeld 50 dollar van de 15.000 dollar die je wilt opslaan.
3. Controleer of het aankomt en stuur er dan een beetje terug (zeg 20 dollar) naar je exchange of hot wallet. Ontvangen bewijst alleen dat het adres van jou is; versturen bewijst dat je de sleutels beheert en het apparaat onder echte omstandigheden kunt bedienen.
4. Als je in stap 3 de herstel-oefening hebt gedaan, heb je nu de volledige cyclus bewezen: back-up → herstel → uitgeven. Verplaats nu pas de rest, in één of twee grotere overboekingen.

Verwacht voor elke stap normale netwerkfees te betalen; op Bitcoin of een Ethereum-L2 kost de hele test een paar dollar. Dat is goedkoop leergeld.

Stap 5: doorlopend beheer

Cold storage is niet "instellen en vergeten" – het is "instellen en zelden aanraken, maar bewust".

• Bewaar het apparaat en de herstelzin gescheiden. Het apparaat is met een pincode beveiligd en wist zichzelf na herhaalde foute pincodes; de herstelzin is het echte kroonjuweel.
• Controleer ongeveer twee keer per jaar. Sluit het apparaat aan, controleer of het nog werkt, controleer de saldo's via een watch-only wallet of blockchain explorer met je publieke adressen (daarvoor zijn geen sleutels nodig) en update de firmware via de officiële app als je toch bezig bent.
• Een verloren of kapot apparaat is geen noodgeval. Je geld staat op de blockchain, niet in het apparaatje. Koop een vervanger, herstel vanuit de herstelzin en ga verder. Een gecompromitteerde herstelzin is het noodgeval: als je ooit vermoedt dat de woorden zijn gezien, zet dan een nieuwe wallet op met een nieuwe herstelzin en verplaats alles onmiddellijk.
• Pas op voor oplichters aan het eind. Over jaren, wanneer je eindelijk iets uitgeeft, gelden dezelfde regels: controleer adressen op het apparaat zelf en behandel iedereen die je benadert over "walletmigratie" of "validatie" als een aanvaller. Eigenaren van cold storage zijn bij uitstek phishingdoelwitten, juist omdat de buit groot is.