Netwerkbeveiliging voor crypto gebruikers
Je hebt een hardware wallet. Je seed phrase ligt veilig offline. Je hebt nagedacht over wat er met je crypto gebeurt als je overlijdt.
Netwerkbeveiliging voor crypto gebruikers
Je hebt een hardware wallet. Je seed phrase ligt veilig offline. Je hebt nagedacht over wat er met je crypto gebeurt als je overlijdt.
Maar je router is nog het ding dat de provider je drie jaar geleden heeft opgestuurd.
Dit is het meest voorkomende gat in de beveiliging van crypto houders: veel aandacht voor de kluis, weinig voor de deur. Dit artikel legt uit wat de reële risico’s zijn op netwerkniveau en wat je eraan doet — per budget, in volgorde van prioriteit.
Deze gids is vooral bedoeld voor lezers die al weten dat crypto voor hen een relevante asset is. Het is geen automatisch advies om meteen een nieuw netwerkproject te starten.
Wat zijn de echte risico’s?
DNS-manipulatie Je typt bitvavo.nl in je browser. Je router vraagt een DNS-server: “wat is het IP-adres van bitvavo.nl?” Als die DNS-server gecompromitteerd is — of als je router zelf is gehackt — kan je worden doorgestuurd naar een perfecte kopie van de echte site. Je logt in of downloadt de verkeerde software. Je accounts of fondsen lopen dan risico, ook zonder dat je ooit je seed phrase invoert.
Router-inbraak De meeste thuisrouters draaien verouderde firmware met bekende kwetsbaarheden. Aanvallers scannen actief naar routers met standaard wachtwoorden of ongepatchte software. Eenmaal binnen kunnen ze al je verkeer onderscheppen — inclusief inlogpogingen bij exchanges en wallets.
Netwerk-interceptie en phishing-infrastructuur Het meeste verkeer naar exchanges en wallets is vandaag gewoon HTTPS. Het praktische risico zit daarom vaker in kwaadaardige DNS-antwoorden, captive portals, malafide downloads, nep-walletsites en een gehackte router die je naar de verkeerde bestemming stuurt.
Apparaten op hetzelfde netwerk Een gecompromitteerde smart TV, IP-camera of gameconsole op je netwerk kan als springplank worden gebruikt. Ze zitten op hetzelfde netwerk als je laptop. Scheiding bestaat niet als er geen VLAN’s zijn.
Wat je nu kunt doen — gratis
Dit zijn de stappen die geen geld kosten maar het risico direct verlagen.
1. Verander het beheerderswachtwoord van je router Het staat nu waarschijnlijk op een sticker of is “admin/admin”. Dit is de eerste deur die aanvallers proberen. Verander het naar een sterk, uniek wachtwoord en sla het op in een wachtwoordmanager.
2. Update de routerfirmware Ga naar de beheerpagina van je router (meestal 192.168.1.1 of 192.168.0.1), zoek de firmware-update sectie, en installeer de nieuwste versie. Veel kwetsbaarheden zijn al gepatcht — maar alleen als je update.
3. Verander DNS naar een betrouwbare resolver Standaard gebruikt je router de DNS van je provider. Wissel dit naar:
Dit beschermt niet volledig tegen DNS-aanvallen, maar het is beter dan de standaard.
4. Schakel UPnP uit UPnP laat apparaten op je netwerk automatisch poorten openen in je router — zonder dat je er toestemming voor geeft. Zet het uit, tenzij je een specifieke reden hebt om het aan te laten.
5. Controleer welke apparaten op je netwerk zitten Ga naar je router en bekijk de lijst van verbonden apparaten. Herken je alles? Een onbekend apparaat kan een aanwijzing zijn voor een inbraak of een apparaat dat je bent vergeten.
Niveau 1 — €80-110: GL.iNet router
Als je één ding koopt voor netwerkbeveiliging als crypto houder, is een GL.iNet router een logische middenweg.
Waarom:
- OpenWrt voorgeïnstalleerd — het meest geteste open-source router-OS
- VPN-client ingebouwd — al je apparaten lopen automatisch via VPN
- DNS-over-TLS — DNS-verkeer versleuteld, moeilijker te manipuleren
- AdGuard Home — blokkeert bekende phishing-domeinen op netwerkniveau
- Actief onderhouden, regelmatige beveiligingsupdates
| Model | Prijs | Geschikt voor |
|---|---|---|
| GL.iNet Beryl AX (MT3000) | budgetklasse | Thuis, Wi-Fi 6, snel genoeg voor de meeste situaties |
| GL.iNet Flint 2 (MT6000) | middensegment | Thuis, meer poorten, hogere doorvoer |
Wat je instelt na aankoop:
- VPN-client activeren (Mullvad, ProtonVPN of je eigen WireGuard-server)
- DNS-over-TLS instellen op Quad9 (blokkeert malware-domeinen)
- AdGuard Home inschakelen voor DNS-filtering op netwerkniveau
- Gastnetwerk aanmaken voor IoT-apparaten (slimme TV, camera’s, etc.)
Met deze setup dwing je centraal netwerkbeleid af voor al je apparaten. DNS-manipulatie wordt moeilijker, bekende phishing-domeinen kunnen eerder worden geblokkeerd, en je bent minder afhankelijk van losse instellingen per apparaat.
Adoptiefrictie: midden. Onderhoudslast: midden.
Overkill wanneer: je nauwelijks transacties doet, geen noemenswaardige bedragen beheert, of je gratis basisstappen nog niet hebt gedaan.
Niveau 2 — Firewalla (check actuele prijs)
Als je ook netwerk-monitoring en een VPN-server wil — zodat je veilig kunt verbinden vanuit een hotel of kantoor — is de Firewalla Gold de volgende stap.
Wat het toevoegt boven GL.iNet:
- Real-time alerts als een apparaat vreemd gedrag vertoont
- Overzicht van al het netwerkverkeer per apparaat
- VPN-server zodat je vanaf buiten veilig thuis kunt verbinden
- App-bediening — geen CLI kennis nodig
Nadeel: gesloten platform. Je bent afhankelijk van Firewalla voor updates. Voor de meeste crypto houders is dit acceptabel — voor hoog-risico situaties niet.
Dit wordt vooral logisch als je meer zicht en beheer wilt, niet als standaard eerste aankoop.
Niveau 3 — €180-400: Protectli + OPNsense
Als je volledige controle wil — open-source van boven naar beneden, geen afhankelijkheid van een bedrijf, volledige logs van al je netwerkverkeer — dan is een mini-PC met OPNsense de juiste keuze.
Hardware:
- Protectli FW4B — 4 netwerkpoorten, fanless, ouder platform
- Protectli FW6 — 6 poorten, krachtigere processor
Wat OPNsense toevoegt:
- Intrusion Detection (Suricata) — detecteert bekende aanvalspatronen
- VLAN’s — crypto-laptop volledig gescheiden van andere apparaten
- Volledige DNS-logging — zie precies welke domeinen worden opgevraagd
- WireGuard VPN-server ingebouwd
Moeilijkheidsgraad: hoog. Verwacht een weekend om alles in te stellen. Maar als je dit eenmaal draait, heb je meer inzicht in je netwerk dan de meeste kleine bedrijven.
Onderhoudslast: hoog. Alleen verstandig als je dit ook echt wilt beheren.
Niveau 4 — €600+: Deciso DEC series
Voor wie crypto beheert als onderdeel van een bedrijf, vermogensbeheer, of in een hoog-risico omgeving werkt: Deciso maakt officiële OPNsense-hardware.
Nederlandse fabrikant, gebruikt door overheden en financiële instellingen. Plug-and-play OPNsense, professionele ondersteuning, lange lifecycle.
Dit valt buiten het bereik van de meeste thuisgebruikers — maar het bestaat, en als je budget het toelaat en je de risico’s serieus neemt, is het de eerlijke aanbeveling.
De volgorde die ertoe doet
Als je niet weet waar te beginnen:
- Vandaag, gratis: routerwachtwoord veranderen + firmware updaten + DNS naar Quad9
- Deze week, als je dit echt wilt onderhouden: GL.iNet Beryl AX — DNS-filtering en optioneel router-VPN
- Later, als het nodig is: Firewalla of Protectli + OPNsense afhankelijk van je dreigingsniveau
De hardware wallet beschermt je seed phrase. De router beschermt de verbindingen die je dagelijks maakt. Beide zijn nodig.
Verbinding met je andere beveiligingslagen
Netwerkbeveiliging is één laag. De andere lagen:
- Hardware wallet — seed phrase offline, transacties onderteken je op het apparaat zelf, nooit via software. Een gecompromitteerd netwerk kan een hardware wallet niet leegmaken — maar kan je wel naar een nep-website sturen.
- Apparaatisolatie — gebruik bij voorkeur een apart apparaat voor crypto-transacties. Niet de laptop waarop je ook torrent, games installeert, of werkmail ontvangt.
- Software wallet op GrapheneOS — als je mobiel crypto beheert, biedt GrapheneOS sterke sandboxing en netwerkcontrole per app.
Een sterk netwerk beschermt niet als het apparaat zelf gecompromitteerd is. En een schoon apparaat helpt niet als je via een gehackte router verbindt. De lagen versterken elkaar.
Volgende stap
Centraal DNS, VPN en gastnetwerk afdwingen
- GL.iNet reisrouter instellen — meest concrete vervolgstap na de gratis basismaatregelen
Netwerkoverzicht
- Welk netwerk past bij jouw profiel? — volledig overzicht van alle opties
- VPN: wat het doet en wat niet
Per situatie
- Profiel: kleine ondernemer — als je crypto beheert als bedrijf
Reviews
- Trezor Safe 3 review — hardware wallet
- NerdMiner ESP32 review — solo Bitcoin mining