Multisig: de kluis met meerdere sleutels

Op Bitcoin is multisig native: het netwerk zelf controleert het quorum, via een mechanisme dat al meer dan tien jaar beproefd is. De historische nadelen — iets hogere kosten en een quorum dat bij het uitgeven publiek zichtbaar is — vervagen met Taproot, waardoor moderne multisigs eruit kunnen zien (en kosten) als een gewone transactie. De referentie-coördinatoren zijn open source: Sparrow Wallet op de computer, Electrum de veteraan, Nunchuk op mobiel, en het Franse Liana, dat tijdvertraagde herstelpaden (timelocks) toevoegt, ontworpen voor sleutelverlies en erfopvolging.

Ethereum heeft geen multisig op protocolniveau: je implementeert een smart contract dat de fondsen bewaart en het quorum afdwingt. De referentie heet Safe (ex-Gnosis Safe): het beveiligt tientallen miljarden dollars voor teams, DAO's en veeleisende particulieren. Voordeel van het contract: ondertekenaars of de drempel wijzigen zonder van adres te veranderen. Keerzijde: je vertrouwt ook op de code en de interface. De hack van het Bybit-platform begin 2025 (ongeveer 1,5 miljard dollar) brak de Safe-contracten niet: de gecompromitteerde interface verhulde wat de ondertekenaars goedkeurden. Blijvende les: controleer elke transactie op het scherm van het apparaat dat ondertekent, nooit alleen op de website.

Op Solana heet de standaard Squads: een meermaals geauditeerd programma, geworden tot de kluis van honderden teams in het ecosysteem. Er bestaat ten slotte een technologische neef, MPC: één enkele sleutel die in verdeelde fragmenten wordt gemaakt en die samen ondertekenen zonder ooit herenigd te worden. Het is de aanpak van moderne consumentenwallets — waaronder Deblock, met een actief fragment op je telefoon en een passief fragment op hun servers. Dezelfde filosofie (het enkele punt elimineren), maar het quorum wordt door software afgedwongen, niet in de blockchain gegrift.

Multisig beantwoordt drie angsten tegelijk. Diefstal: één gecompromitteerde sleutel (inbraak, phishing, een fout van een fabrikant) volstaat niet meer. Verlies: een brand, een overstroming, een vergissing — de kluis overleeft. Vertrouwen: een koppel, een vereniging of een bedrijf kan garanderen dat niemand er alleen met de kas vandoor gaat. Precies daarom leven bijna alle grote crypto-treasury's in multisig.

Voor een particulier leggen de referentiegidsen (Sparrow, Casa, Unchained) het kantelpunt op het moment dat je portefeuille een vermogen wordt — vaak rond enkele tienduizenden euro's — of zodra je je erfopvolging voorbereidt. Daaronder kost de complexiteit meer dan ze beschermt: een goed geback-upte hardware wallet, of zelfs een beheerste passphrase, dekt al het essentiële. Trouwens, de overgrote meerderheid van de bitcoins ter wereld wordt nog in single-sig gehouden.

Wil je het vangnet zonder de techniek alleen te trotseren, dan laat collaboratieve bewaring (Casa, Unchained) je de meerderheid van de sleutels en houdt er slechts één: de dienst kan niets verplaatsen zonder jou, maar kan je helpen herstellen of doorgeven. Het is ook de best uitgestippelde weg voor erfopvolging: hun speciale protocollen laten je naasten de kluis terughalen bij je overlijden, zonder hem te kunnen aanraken terwijl je leeft.

Sinds 2024-2025 is de meest gemediatiseerde dreiging niet langer puur digitaal. De zogenaamde “wrench attacks” — iemand fysiek bedreigen om zijn wallet te legen — zijn sterk toegenomen, en Frankrijk werd bijzonder hard getroffen: meerdere ontvoeringen en pogingen viseerden crypto-ondernemers en hun naasten, waaronder een van de medeoprichters van Ledger begin 2025. De staat reageerde (voorrangstoegang tot het noodnummer, veiligheidsconsultaties, steun voor blootgestelde families). De les is geen paniek — die gevallen blijven zeldzaam tegenover miljoenen houders — maar veiligheid moet ook in de echte wereld worden bedacht.

Multisig verandert dit scenario grondig. Als je sleutels geografisch verspreid zijn (thuis, bankkluis, vertrouwde derde), wordt het materieel onmogelijk om alles onder onmiddellijke dwang te legen: niets van wat zich “ter plaatse” bevindt is voldoende. Gespecialiseerde diensten voegen onverkortbare vertragingen toe — een noodsleutel die pas na enkele dagen antwoordt, timelocks à la Liana: de bliksemaanval verliest zijn nut omdat hij niet snel kan slagen.

De passphrase (het “25e woord” uit de vorige module) speelt een aanvullende, maar bediscussieerde rol: hij beschermt vooral je papieren seed en kan een “lokaas”-wallet maken met een plausibel bedrag. Specialisten nuanceren echter: een lokaas kan falen als de aanvaller al weet wat je bezit, en je combineert passphrase en multisig niet op dezelfde kluis — multisig elimineert het enkele punt van falen al.

Dan blijft de eerste verdedigingslinie, die niets kost: discretie. De Franse politie vat het samen in één formule: “discretie is bescherming”. Toon nooit je bezittingen (sociale media, gesprekken, screenshots), vermijd dat crypto-materiaal op je naam en adres wordt geleverd — het lek van Ledgers klantenbestand in 2020 voedt nog steeds phishing en verkenning — en brief je naasten: in de recente Franse zaken worden familieleden minstens even vaak geviseerd als de houder zelf.

Multisig heeft een prijs: strengheid. Het vermenigvuldigt wat je moet back-uppen (elke seed + de descriptor), de handelingen en de kansen om iets fout te doen. Het grootste risico is niet de hacker: dat ben jij. Bij 2-van-3 betekent twee sleutels verliezen zonder kopie = fondsen voorgoed verloren, zonder enig verhaal. De gedocumenteerde post-mortems lijken allemaal op elkaar: seeds op dezelfde plaats bewaard, descriptor nooit geëxporteerd, herstel nooit getest.

Goede praktijken komen neer op enkele regels: verschillende fabrikanten voor de apparaten (een fout bij één veroordeelt de kluis niet), echt gescheiden locaties, een volledige hersteltest met een klein bedrag voordat je je kapitaal stort — daarna een periodieke hertest. En het meest contra-intuïtieve advies: maak het niet te complex. In de grote meerderheid van de gevallen is de eenvoudigste optie die je risico dekt de juiste; een goed beheerde 2-van-3 is beter dan een slecht beheerde 3-van-5.