PrivacyGear.nl
EN

Netwerkbeveiliging voor crypto gebruikers

Je hebt crypto. Je netwerk is de zwakste schakel. Wat moet je aanpakken, in welke volgorde, en wat kost het?

Netwerkbeveiliging voor crypto gebruikers

Netwerkbeveiliging voor crypto gebruikers

Je hebt een hardware wallet. Je seed phrase ligt veilig offline. Je hebt nagedacht over wat er met je crypto gebeurt als je overlijdt.

Maar je router is nog het ding dat de provider je drie jaar geleden heeft opgestuurd.

Dit is het meest voorkomende gat in de beveiliging van crypto houders: veel aandacht voor de kluis, weinig voor de deur. Dit artikel legt uit wat de reële risico’s zijn op netwerkniveau en wat je eraan doet — per budget, in volgorde van prioriteit.

Wat zijn de echte risico’s?

DNS-manipulatie Je typt bitvavo.nl in je browser. Je router vraagt een DNS-server: “wat is het IP-adres van bitvavo.nl?” Als die DNS-server gecompromitteerd is — of als je router zelf is gehackt — kan je worden doorgestuurd naar een perfecte kopie van de echte site. Je logt in. Je seed phrase of wachtwoord is weg.

Router-inbraak De meeste thuisrouters draaien verouderde firmware met bekende kwetsbaarheden. Aanvallers scannen actief naar routers met standaard wachtwoorden of ongepatchte software. Eenmaal binnen kunnen ze al je verkeer onderscheppen — inclusief inlogpogingen bij exchanges en wallets.

Netwerk-interceptie Verkeer van je computer naar een exchange of wallet-interface loopt via je router. Als dat verkeer niet versleuteld is, of als een aanvaller tussen jou en de server zit (man-in-the-middle), kan het worden onderschept of gemanipuleerd.

Apparaten op hetzelfde netwerk Een gecompromitteerde smart TV, IP-camera of gameconsole op je netwerk kan als springplank worden gebruikt. Ze zitten op hetzelfde netwerk als je laptop. Scheiding bestaat niet als er geen VLAN’s zijn.

Wat je nu kunt doen — gratis

Dit zijn de stappen die geen geld kosten maar het risico direct verlagen.

1. Verander het beheerderswachtwoord van je router Het staat nu waarschijnlijk op een sticker of is “admin/admin”. Dit is de eerste deur die aanvallers proberen. Verander het naar een sterk, uniek wachtwoord en sla het op in een wachtwoordmanager.

2. Update de routerfirmware Ga naar de beheerpagina van je router (meestal 192.168.1.1 of 192.168.0.1), zoek de firmware-update sectie, en installeer de nieuwste versie. Veel kwetsbaarheden zijn al gepatcht — maar alleen als je update.

3. Verander DNS naar een betrouwbare resolver Standaard gebruikt je router de DNS van je provider. Wissel dit naar:

  • 1.1.1.1 (Cloudflare, snelste optie)
  • 9.9.9.9 (Quad9, blokkeert bekende malware-domeinen)

Dit beschermt niet volledig tegen DNS-aanvallen, maar het is beter dan de standaard.

4. Schakel UPnP uit UPnP laat apparaten op je netwerk automatisch poorten openen in je router — zonder dat je er toestemming voor geeft. Zet het uit, tenzij je een specifieke reden hebt om het aan te laten.

5. Controleer welke apparaten op je netwerk zitten Ga naar je router en bekijk de lijst van verbonden apparaten. Herken je alles? Een onbekend apparaat kan een aanwijzing zijn voor een inbraak of een apparaat dat je bent vergeten.

Niveau 1 — €80-110: GL.iNet router

Als je één ding koopt voor netwerkbeveiliging als crypto houder, is het een GL.iNet router.

Waarom:

  • OpenWrt voorgeïnstalleerd — het meest geteste open-source router-OS
  • VPN-client ingebouwd — al je apparaten lopen automatisch via VPN
  • DNS-over-TLS — DNS-verkeer versleuteld, moeilijker te manipuleren
  • AdGuard Home — blokkeert bekende phishing-domeinen op netwerkniveau
  • Actief onderhouden, regelmatige beveiligingsupdates
ModelPrijsGeschikt voor
GL.iNet Beryl AX (MT3000)~€80Thuis, Wi-Fi 6, snel genoeg voor alles
GL.iNet Flint 2 (MT6000)~€100Thuis, meer poorten, hogere doorvoer

Wat je instelt na aankoop:

  1. VPN-client activeren (Mullvad, ProtonVPN of je eigen WireGuard-server)
  2. DNS-over-TLS instellen op Quad9 (blokkeert malware-domeinen)
  3. AdGuard Home inschakelen voor DNS-filtering op netwerkniveau
  4. Gastnetwerk aanmaken voor IoT-apparaten (slimme TV, camera’s, etc.)

Met deze setup loopt al je crypto-gerelateerd verkeer via een versleutelde tunnel. DNS-aanvallen zijn aanzienlijk moeilijker. Phishing-domeinen worden geblokkeerd voordat je browser ze ooit bereikt.

Niveau 2 — €150-200: Firewalla Gold

Als je ook netwerk-monitoring en een VPN-server wil — zodat je veilig kunt verbinden vanuit een hotel of kantoor — is de Firewalla Gold de volgende stap.

Wat het toevoegt boven GL.iNet:

  • Real-time alerts als een apparaat vreemd gedrag vertoont
  • Overzicht van al het netwerkverkeer per apparaat
  • VPN-server zodat je vanaf buiten veilig thuis kunt verbinden
  • App-bediening — geen CLI kennis nodig

Nadeel: gesloten platform. Je bent afhankelijk van Firewalla voor updates. Voor de meeste crypto houders is dit acceptabel — voor hoog-risico situaties niet.

Niveau 3 — €180-400: Protectli + OPNsense

Als je volledige controle wil — open-source van boven naar beneden, geen afhankelijkheid van een bedrijf, volledige logs van al je netwerkverkeer — dan is een mini-PC met OPNsense de juiste keuze.

Hardware:

  • Protectli FW4B (~€180) — 4 netwerkpoorten, fanless, Intel J3160
  • Protectli FW6 (~€350) — 6 poorten, krachtigere processor

Wat OPNsense toevoegt:

  • Intrusion Detection (Suricata) — detecteert bekende aanvalspatronen
  • VLAN’s — crypto-laptop volledig gescheiden van andere apparaten
  • Volledige DNS-logging — zie precies welke domeinen worden opgevraagd
  • WireGuard VPN-server ingebouwd

Moeilijkheidsgraad: hoog. Verwacht een weekend om alles in te stellen. Maar als je dit eenmaal draait, heb je meer inzicht in je netwerk dan de meeste kleine bedrijven.

Niveau 4 — €600+: Deciso DEC series

Voor wie crypto beheert als onderdeel van een bedrijf, vermogensbeheer, of in een hoog-risico omgeving werkt: Deciso maakt officiële OPNsense-hardware.

Nederlandse fabrikant, gebruikt door overheden en financiële instellingen. Plug-and-play OPNsense, professionele ondersteuning, lange lifecycle.

Dit valt buiten het bereik van de meeste thuisgebruikers — maar het bestaat, en als je budget het toelaat en je de risico’s serieus neemt, is het de eerlijke aanbeveling.

De volgorde die ertoe doet

Als je niet weet waar te beginnen:

  1. Vandaag, gratis: routerwachtwoord veranderen + firmware updaten + DNS naar Quad9
  2. Deze week, ~€80: GL.iNet Beryl AX — VPN op router, DNS-filtering
  3. Later, als het nodig is: Firewalla of Protectli + OPNsense afhankelijk van je dreigingsniveau

De hardware wallet beschermt je seed phrase. De router beschermt de verbindingen die je dagelijks maakt. Beide zijn nodig.

Verbinding met je andere beveiligingslagen

Netwerkbeveiliging is één laag. De andere lagen:

  • Hardware wallet — seed phrase offline, transacties onderteken je op het apparaat zelf, nooit via software. Een gecompromitteerd netwerk kan een hardware wallet niet leegmaken — maar kan je wel naar een nep-website sturen.
  • Apparaatisolatie — gebruik bij voorkeur een apart apparaat voor crypto-transacties. Niet de laptop waarop je ook torrent, games installeert, of werkmail ontvangt.
  • Software wallet op GrapheneOS — als je mobiel crypto beheert, biedt GrapheneOS sandboxing en netwerklsolatie per app.

Een sterk netwerk beschermt niet als het apparaat zelf gecompromitteerd is. En een schoon apparaat helpt niet als je via een gehackte router verbindt. De lagen versterken elkaar.

Zie ook:

← Terug naar gidsen