Herstelzinnen uitgelegd

Een herstelzin (seed phrase) is een voor mensen leesbare back-up van de hoofdsleutel van je wallet: 12 of 24 Engelse woorden die een groot willekeurig getal coderen. Iedereen die die woorden in de juiste volgorde heeft, kan je hele wallet nabouwen – elk account, elk adres, elke coin – op elk compatibel apparaat, overal, voor altijd. Dat maakt de herstelzin zowel het ultieme herstelmiddel als het gevaarlijkste dat je in crypto verkeerd kunt behandelen.

Wat de woorden echt zijn

De woorden zijn geen wachtwoord dat je hebt gekozen en ook geen zin met betekenis. Volgens de BIP-39-standaard, die vrijwel alle moderne wallets volgen, begint je wallet met het genereren van willekeurige entropie – 128 bits voor een zin van 12 woorden, 256 bits voor 24 woorden. Dat getal wordt in stukken gesneden en elk stuk correspondeert met een woord uit een vaste, gepubliceerde lijst van 2.048 Engelse woorden (van "abandon" tot "zoo"). Er worden een paar bits checksum aan toegevoegd, en daarom kan een wallet je direct vertellen dat een verkeerd getypte zin ongeldig is.

De veiligheid komt voort uit de omvang van het getal, niet uit de geheimhouding van de woordenlijst. Een zin van 12 woorden heeft 2^128 mogelijke combinaties. Er een raden met brute force is niet een kwestie van duur – het gaat de denkbare rekencapaciteit van elke aanvaller te boven. Niemand "kraakt" herstelzinnen; ze worden gestolen.

Twee gevolgen van het ontwerp zijn het waard om te onthouden:

• De volgorde van de woorden telt. Dezelfde 12 woorden in een andere volgorde zijn een andere (vrijwel zeker ongeldige) sleutel.
• De lijst is gestandaardiseerd. De woorden zijn zo gekozen dat de eerste vier letters uniek zijn binnen de lijst, en daarom slaan sommige metalen back-upproducten maar vier letters per woord op.

Van 12 woorden naar elk adres dat je bezit

Een veelvoorkomende verwarring: "Ik heb één herstelzin maar tientallen adressen – hoe kan dat?" Het antwoord is hiërarchisch-deterministische (HD) afleiding, vastgelegd in BIP-32 en BIP-44. Je herstelzin wordt uitgerekt tot een hoofdsleutel, en de wallet leidt daar vervolgens langs gestandaardiseerde derivation paths een boom van kindsleutels van af – één tak voor Bitcoin, een andere voor Ethereum, met daaronder afzonderlijke accounts en adresindexen.

De afleiding is deterministisch: dezelfde seed levert altijd dezelfde boom op. Daarom brengt het herstellen van een herstelzin op een nieuw apparaat al je accounts weer tot leven zonder dat er een server aan te pas komt – de wallet leidt de sleutels gewoon opnieuw af en scant de blockchains op activiteit.

Het verklaart ook een praktisch punt: je walletsoftware, je hardwareapparaat en je app-accounts zijn allemaal vervangbaar. De herstelzin is de wallet. Het apparaat is slechts een viewer en ondertekenaar. Raak je het apparaat kwijt maar houd je de zin: dan ben je niets kwijt. Houd je het apparaat maar raak je de zin kwijt (en het apparaat gaat later kapot): dan is alles weg.

De optionele passphrase: een 25e woord

BIP-39 ondersteunt een optionele, door de gebruiker gekozen passphrase, soms het "25e woord" genoemd. Als je er een toevoegt, ontstaat uit dezelfde woorden een compleet andere wallet. Dat heeft twee toepassingen: het beschermt je als de opgeschreven zin wordt gevonden (de dief krijgt een lege of lokwallet), en het laat één seed meerdere verborgen wallets ondersteunen.

De keerzijde is zwaar: de passphrase wordt nergens opgeslagen en heeft geen checksum. Vergeet je hem, of onthoud je één enkel teken verkeerd, dan is het geld onbereikbaar, zelfs met een perfecte back-up van de herstelzin. Passphrases zijn gereedschap voor gevorderden die de basisdiscipline voor back-ups al beheersen – geen standaardkeuze voor beginners. Als je er een gebruikt, heeft die een eigen back-up nodig, apart bewaard van de woorden van de herstelzin.

Bewaren: wat je wel moet doen

Het dreigingsmodel voor een back-up van je herstelzin heeft twee kanten: diefstal (iemand vindt hem) en verlies (je kunt hem niet vinden, of hij is vernietigd). Goede opslag beschermt tegen beide.

• Schrijf hem fysiek op. Pen en papier is het minimum. Controleer elk woord op volgorde met wat de wallet toont voordat je bevestigt.
• Overweeg metaal bij serieuze bedragen. Papier overleeft geen brand (ontbrandt bij circa 230°C) en ook geen overstroming. Geslagen of gegraveerde roestvrijstalen platen overleven de temperaturen van een woningbrand. Voor bezit ter waarde van duizenden dollars is een metalen back-up van 30–60 dollar een goedkope verzekering.
• Bewaar kopieën op aparte locaties. Eén thuis in een kluis, één op een andere vertrouwde plek – de kluis van een familielid, een bankkluis. Twee kopieën in dezelfde la is één kopie met extra stappen.
• Doe een herstelproef. Herstel minstens één keer een wallet met de opgeschreven woorden voordat je er serieus geld op zet. Een back-up die je nooit hebt getest, is slechts hoop, geen back-up.
• Denk aan anderen. Iemand moet de back-up kunnen vinden en gebruiken als jij dat niet kunt – een onderwerp dat een eigen planning verdient, maar minimaal: verstop hem niet zo goed dat hij met jou verdwijnt.

Bewaren: wat je niet moet doen

De meeste diefstallen van herstelzinnen zijn terug te voeren op één fout: de woorden kwamen in aanraking met een apparaat dat met internet is verbonden. Aanvallers draaien geautomatiseerde malware die foto's, clouddrives en notitie-apps specifiek scant op patronen van 12 of 24 woorden.

• Fotografeer hem nooit. Foto's synchroniseren naar de cloud, en cloudaccounts worden gehackt.
• Typ hem nooit in op een computer of telefoon, behalve tijdens een echt herstel van een wallet – en nooit, echt nooit, op een website. Geen enkele legitieme app, supportmedewerker of "validatietool" vraagt je je herstelzin op een webpagina in te voeren. Die vraag is het handelsmerk van wallet-drainerfraude.
• Bewaar hem nooit digitaal – niet in concept-e-mails, notitie-apps, wachtwoordmanagers, spreadsheets of een versleuteld bestand waarvan je het wachtwoord vergeet. Digitale opslag verandert een probleem van fysieke diefstal in een probleem van hacken op afstand, en dat is een veel slechtere ruil.
• Zeg hem nooit hardop in de buurt van slimme apparaten of tijdens gesprekken. "Support"-medewerkers die om je zin vragen, zijn zonder uitzondering dieven.
• Splits de zin niet in helften op verschillende plekken. Geïmproviseerde splitsingsschema's verlagen meestal de veiligheid (6 bekende woorden verkleinen de zoekruimte enorm) of de betrouwbaarheid (raak je één helft kwijt, dan ben je alles kwijt). Als je gesplitste custody wilt, gebruik dan een schema dat daarvoor is ontworpen, zoals multisig of een passphrase.

Als je herstelzin bekend is geworden

Behandel elke blootstelling als een volledige compromittering: een foto die is gemaakt, de woorden die op een website zijn getypt, een kopie die zoek is geraakt. Er is geen manier om het "wachtwoord" van een bestaande seed te wijzigen – de enige oplossing is migratie. Maak een gloednieuwe wallet met een vers gegenereerde seed en breng dan al het geld van de gecompromitteerde wallet over naar de nieuwe, te beginnen met de activa met de hoogste waarde. Snelheid telt; drainer-operaties verplaatsen gestolen geld binnen enkele minuten nadat ze een sleutel hebben bemachtigd. Zet de oude seed daarna definitief buiten gebruik. Gebruik nooit opnieuw een zin die je ook maar mogelijk als gelekt beschouwt.