Tweefactorauthenticatie voor crypto-accounts.

Wachtwoorden worden regelmatig blootgesteld via datalekken bij derde partijen, herbruik over meerdere sites, of eenvoudige phishing-pagina's die inloggegevens direct doorsturen naar een aanvaller. Omdat cryptotransacties definitief en onomkeerbaar zijn, is de drempel om toegang te krijgen tot een account des te belangrijker om hoog te houden.

2FA voegt een factor toe die losstaat van iets wat je weet (het wachtwoord): iets wat je hebt (een apparaat of sleutel) of iets wat je bent (biometrie). Zelfs als een wachtwoord gecompromitteerd raakt, heeft een aanvaller dan nog steeds de tweede factor nodig om in te loggen.

Sms-gebaseerde 2FA stuurt een eenmalige code naar je telefoonnummer. Dit is beter dan geen 2FA, maar kwetsbaar voor sim-swapping: een aanvaller overtuigt een telefoonprovider (vaak via social engineering of een omgekochte medewerker) om jouw nummer over te zetten naar een simkaart in hun bezit, waarna sms-codes naar hen worden gestuurd.

Voor accounts met significante waarde wordt sms-2FA daarom afgeraden als enige beveiligingslaag. Het is een verbetering ten opzichte van alleen een wachtwoord, maar niet de sterkste beschikbare optie.

Een authenticator-app genereert lokaal op je telefoon tijdgebonden eenmalige codes (TOTP), zonder afhankelijkheid van het mobiele netwerk. Dit maakt deze methode ongevoelig voor sim-swapping, al blijft phishing een risico: een nagemaakte inlogpagina kan je vragen zowel je wachtwoord als de actuele code in te voeren, die de aanvaller vervolgens direct doorgeeft aan de echte site.

Bewaar bij het instellen van een authenticator-app altijd de herstelcodes die de meeste platforms aanbieden; zonder deze codes verlies je toegang tot het account als je telefoon verloren gaat, kapot gaat of vervangen wordt. Bewaar deze herstelcodes net zo zorgvuldig als een seed phrase: fysiek en offline.

Een fysieke beveiligingssleutel die via het FIDO2/WebAuthn-protocol werkt, biedt de sterkste bescherming tegen phishing. Deze sleutels controleren cryptografisch of de website waarmee wordt gecommuniceerd daadwerkelijk de legitieme site is, waardoor een nagemaakte pagina de authenticatie niet kan voltooien, zelfs als een gebruiker per ongeluk probeert in te loggen.

Het nadeel is dat niet elk platform hardware-sleutels ondersteunt en dat je een fysiek apparaat bij je moet hebben. Voor accounts met aanzienlijke waarde, zoals grote posities op een beurs, is dit echter de meest robuuste beschikbare bescherming tegen phishing-gebaseerde overnames.

Schakel 2FA in op elk account waar het beschikbaar is, niet alleen op cryptoplatforms maar ook op de e-mail die aan die accounts gekoppeld is; een gecompromitteerde e-mail leidt vaak tot een cascade van andere gecompromitteerde accounts via wachtwoordherstelprocedures.

Stel waar mogelijk meerdere 2FA-methoden in als back-up voor elkaar, bijvoorbeeld een authenticator-app én een hardware-sleutel, en bewaar herstelcodes fysiek gescheiden van je apparaten. Vermijd het gebruik van hetzelfde telefoonnummer of dezelfde e-mail als enige herstelmethode voor meerdere kritieke accounts.