Vultisig, de ontwikkelaar van een multisignature-cryptowallet, zegt dat een update die in augustus 2025 is uitgebracht een kwetsbaarheid met privésleutels in de software heeft opgelost. Het bedrijf heeft niet publiek bekendgemaakt welke versies zijn getroffen, onder welke omstandigheden het lek kon worden geactiveerd, of er gebruiksfondsen zijn gecompromitteerd voordat de fix werd uitgerold.

Berichtgeving van CryptoSlate omschrijft het probleem als een kritiek lek met privésleutels dat door de augustus-updates is geblokkeerd. De inzet in deze categorie is uitzonderlijk hoog: een privésleutel fungeert als het hoofdwachtwoord van elke cryptowallet, en wie deze in handen heeft, beheerst de fondsen in de wallet volledig, waardoor dit een van de ernstigste kwetsbaarheden is waarmee een wallet-aanbieder te maken kan krijgen.

Naast het toeschrijven van de remedie aan updates die in augustus zijn uitgebracht, heeft Vultisig geen publiek security-advies uitgegeven. Op het moment van schrijven is er geen CVE-identificatie, geen reikwijdte van getroffen versies en geen technische uiteenzetting die de omvang van de fix bevestigt. CVE-identificaties vormen het gestandaardiseerde systeem dat in de software-industrie wordt gebruikt om publiek bekendgemaakte kwetsbaarheden te catalogiseren, waardoor gebruikers en security-teams een gemeenschappelijk referentiepunt hebben om te verifiëren of hun eigen installaties zijn getroffen.

Waarom een kwetsbaarheid met privésleutels ernstig is

Een privésleutel is een lange reeks tekens die wordt gegenereerd wanneer een cryptowallet wordt aangemaakt. Deze is te vergelijken met de cijfercombinatie van een kluis: wie de code kent, kan de kluis openen en erin meenemen. In het ergste geval kan een kwetsbaarheid die privésleutels lekt of blootstelt een aanvaller in staat stellen een wallet leeg te halen zonder dat de eigenaar een verkeerde actie onderneemt.

Vultisig is gebouwd op multi-party computation (MPC), een ontwerp waarbij geen enkel apparaat ooit de volledige privésleutel bevat. In plaats daarvan wordt de sleutel opgesplitst in "shares" over meerdere apparaten, waardoor het risico wordt verminderd dat een enkel storingspunt de volledige sleutel blootstelt. Een kwetsbaarheid in een dergelijk systeem zou de onjuiste verwerking van sleutel-shares tijdens een ondertekeningsoperatie kunnen betreffen, hoewel Vultisig het specifieke mechanisme niet heeft bevestigd in de openbare bekendmakingen die voor dit artikel zijn beoordeeld.

Walletbeveiligingslekken van dit soort zijn niet uniek voor Vultisig. Eerder dit jaar dichtte Electrum een lek dat kwaadwillende servers in staat stelde diefstal van Bitcoin te vergemakkelijken, en een hack van een Solana-handelsbot haalde bijna $1 miljoen uit 49 wallets nadat aanvallers een zwakte hadden gevonden in de manier waarop privésleutels werden opgeslagen. Bij deze incidenten is de gemene deler de omgang met privésleutelmateriaal — het onderdeel van walletsoftware waarbij een defect zich het meest direct vertaalt in verlies van gebruiksfondsen.

Wat Vultisig-gebruikers nu moeten doen

Voor Vultisig-gebruikers is de belangrijkste stap te bevestigen dat ze de nieuwste versie van de app draaien. Updates dienen te worden verkregen via de app store of de officiële Vultisig-website — nooit via sites van derden, onofficiële app stores of links in berichten op sociale media.

Gebruikers dienen ook de officiële release notes van Vultisig te raadplegen of eventuele beveiligingscommunicatie die op de website of via geverifieerde sociale kanalen is gepubliceerd. Van deze documenten wordt verwacht dat ze aangeven welke versies de kwetsbaarheid bevatten en bevestigen welke build de fix bevat. Als die informatie niet kan worden gevonden, dienen gebruikers rechtstreeks contact op te nemen met de klantenservice van Vultisig via officiële kanalen voordat ze aannemen dat hun installatie veilig is.

Als algemene regel geldt: deel nooit een herstelzin of privésleutelmateriaal met wie dan ook, ook niet met mensen die beweren van het Vultisig-team te zijn. Legitieme wallet-aanbied vragen hier nooit om. Wie een gebruiker benadert over een urgente beveiligingskwestie en om een seed phrase vraagt, voert een oplichting uit, geen klantenservice.

Voor bredere context over hoe infrastructuurkwetsbaarheden zich verspreiden is de cloud-inbreuk bij GMO Trading, waarbij meer dan 26.000 servers risico liepen, een herinnering dat aanvalsoppervlakken verder reiken dan de wallet-app zelf.

Wat nog onduidelijk is

Verschillende wezenlijke details zijn nog niet bevestigd in openbare bekendmakingen. Vultisig heeft niet aangegeven welke specifieke versienummers kwetsbaar waren, of het lek een specifieke gebruikersactie vereiste om te activeren, of er wallets zijn misbruikt voordat de patch werd uitgerold. Het bedrijf heeft ook niet gezegd of de kwetsbaarheid intern is ontdekt of gemeld door een externe security-onderzoeker.

De bekendmakingen waar vervolgens op gelet moeten worden, zijn een formeel security-advies met een toegekende CVE, publicatie van het bereik van getroffen versies en een verklaring over of er wallets zijn getroffen. Tot Vultisig een formeel security-advies publiceert, dienen gebruikers de augustus-update als verplicht in plaats van optioneel te beschouwen en hun installatiestatus zo snel mogelijk te verifiëren.

Disclaimer: Dit artikel is uitsluitend bedoeld voor informatieve doeleinden en vormt geen financieel of beleggingsadvies. Markten voor cryptocurrency en digitale activa brengen aanzienlijke risico's met zich mee. Doe altijd uw eigen onderzoek voordat u beslissingen neemt.