Wat is een private key? Sleutel, herstelzin en veilig bewaren

Een private key is een geheim getal dat bewijst dat jij over bepaalde crypto mag beschikken: met die sleutel onderteken je een transactie, en wie hem kent, kan je munten wegsturen. Crypto staat niet in je wallet, maar op de blockchain; wat je wallet beheert, is die sleutel. Daarom de belangrijkste regel van crypto: "not your keys, not your coins". In dit artikel leggen we uit wat een privésleutel is, hoe hij eruitziet, hoe hij samenhangt met je adres en je herstelwoorden, en hoe je hem veilig bewaart volgens de richtlijnen van de walletmakers zelf.

Hoe werkt een privésleutel?

Een privésleutel is een willekeurig getal van 256 bits. Met wiskunde (elliptische-krommecryptografie) wordt daaruit een publieke sleutel berekend, en uit de publieke sleutel een adres. De berekening werkt maar één kant op: uit een adres of publieke sleutel valt de privésleutel niet af te leiden. Wil je munten versturen, dan ondertekent je wallet de transactie met de privésleutel; het netwerk controleert met de publieke sleutel of de handtekening klopt, zonder de privésleutel ooit te zien.

Hoe ziet een private key eruit?

Meestal zie je hem nooit: je wallet maakt en gebruikt de sleutel op de achtergrond, en jij bewaart alleen de herstelwoorden. Laat een wallet de sleutel toch zien, dan in een van deze vormen:

Zie je ergens online een voorbeeldsleutel of voorbeeldzin, gebruik die dan nooit voor echt geld: iedereen die de pagina heeft gezien, kan erbij.

Kan iemand je private key raden?

Nee, niet als hij goed willekeurig is gemaakt. Een sleutel van 256 bits is een keuze uit 2²⁵⁶ mogelijkheden, ongeveer 1,16 × 10⁷⁷; bij bitcoin is bijna dat hele bereik geldig. Zoveel getallen kan geen computer doorzoeken. Het zwakke punt is de toevalsgenerator. In augustus 2013 meldde Bitcoin.org dat een onderdeel van Android dat willekeurige getallen maakte "critical weaknesses" had, waardoor alle op Android aangemaakte bitcoinwallets tot dan toe kwetsbaar waren voor diefstal; gebruikers moesten hun munten naar nieuwe sleutels verplaatsen. Maak een wallet daarom alleen aan met bekende, actuele software of een hardware wallet, en nooit met een "sleutelgenerator" op een website.

Privésleutel, herstelwoorden en adres

• Herstelwoorden: wie de woorden heeft (en je eventuele passphrase), kan de complete wallet namaken op elk apparaat dat dezelfde standaard ondersteunt. Dit is wat je opschrijft en bewaart. Een back-up van 12 of 24 woorden werkt volgens Trezor in de meeste wallets; een back-up van 20 woorden in minder wallets.
• Passphrase: volgens de BIP39-standaard levert elke passphrase een geldige wallet op, maar alleen de juiste opent de wallet met je munten. Vergeet je de passphrase, dan helpen de herstelwoorden alleen niet meer.
• Privésleutel: wallets als MetaMask en Phantom laten je in de instellingen een losse sleutel tonen of exporteren; doe dat alleen als je weet waarom. MetaMask: "Unless you're a developer, you probably won't need to know about private keys."

Werkt een private key bij elke munt hetzelfde?

Het principe is overal gelijk (geheime sleutel, publieke sleutel, adres), maar de wiskunde en het adresformaat verschillen per netwerk. Daarom past een bitcoinadres niet op Solana, ook al komen beide uit dezelfde herstelwoorden.

Stand 1 oktober 2026, volgens de documentatie van Bitcoin, Ethereum en Solana.

Wie beheert de sleutel?

Bij een exchange beheert het bedrijf de sleutels; jij hebt een account met wachtwoord en ziet zelf geen privésleutel. Handig, en bij een aanbieder met een MiCA-vergunning gelden regels voor gescheiden bewaring, maar je bezit hangt af van dat bedrijf. Bij een eigen wallet (self-custody) beheer jij de sleutels: niemand kan je bitcoin of ether bevriezen of kwijtraken (stablecoins zoals USDT en USDC kan de uitgever wél op een adres blokkeren; zie wat zijn stablecoins), en niemand helpt je als je zelf een fout maakt. Welke keuze bij je past, lees je in crypto wallets uitgelegd.

Daartussen zitten wallets waarbij je inlogt met een Google- of Apple-account, zoals MetaMask en Phantom, en betaalde back-updiensten zoals Ledger Recover. Dat is handiger bij verlies, maar je herstel hangt dan deels af van dat account of die dienst. Lees vooraf bij de wallet zelf hoe herstel werkt.

Zo bewaar je je sleutels veilig

1. Schrijf de herstelwoorden op papier of metaal en bewaar ze op twee veilige plekken. Trezor: bewaar geen digitale kopieën, "this includes screenshots, photographs, emails, Dropbox". Dus ook niet in een notitie-app, wachtwoordmanager of de cloud: alles wat online staat, kan worden gestolen. Papier is kwetsbaar voor vuur en water; Trezor raadt metaal aan voor lange termijn.
2. Typ ze nergens in behalve op het apparaat zelf of bij het herstellen van je eigen wallet. Ledger: "You should never enter your 24 words anywhere other than directly into your device."
3. Deel ze met niemand. Geen helpdesk, geen "supportmedewerker", geen website vraagt er ooit om. MetaMask: "Never share your SRP or private keys with anyone — not even the MetaMask team, even though we will never ask you for this information." Wie erom vraagt, is een oplichter.
4. Gebruik een hardware wallet voor bedragen die je niet kunt missen. Daarop blijven de sleutels in het apparaat; een besmette computer kan ze niet uitlezen. Een hardware wallet beschermt je niet tegen een transactie of goedkeuring die je zelf op het apparaat bevestigt, en niet tegen het weggeven van je herstelwoorden. Zie hardware wallet kiezen.
5. Test je back-up. Zet de wallet een keer terug op een ander apparaat met alleen de woorden, met een klein bedrag erop, zodat je zeker weet dat de back-up werkt.
6. Denk aan nabestaanden. Zonder sleutels is crypto na een overlijden onbereikbaar. Leg vast waar de woorden liggen en wie erbij mag.

Wat er misgaat

• Verlies. Beroemd is de Welse IT'er James Howells, die in 2013 per ongeluk een harde schijf weggooide met de privésleutel van 8.000 bitcoin; de schijf belandde op een stortplaats in Newport. Een verloren sleutel is niet terug te halen.
• Phishing. Nepwebsites, nep-apps en zelfs brieven per post die je herstelwoorden vragen "om je wallet te verifiëren". Ledger waarschuwt: "there is no good reason to type your recovery phrase into a computer". Zie beveiliging in web3.
• Malware. Programma's die je klembord uitlezen of je schermafbeeldingen doorzoeken naar woorden.
• Zwakke toevalsgenerator. Sleutels die met slechte software of een website zijn gemaakt, kunnen voorspelbaar zijn (zie het Android-voorbeeld hierboven).
• Kwaadaardige goedkeuringen. Je sleutel wordt niet gestolen, maar je geeft een contract toestemming om je tokens te beheren. Lees wat je wallet toont voordat je bevestigt.

Kunnen quantumcomputers private keys kraken?

Op dit moment niet. Een voldoende krachtige quantumcomputer zou in theorie met het algoritme van Shor uit een publieke sleutel de privésleutel kunnen berekenen; wanneer of of zo'n computer er komt, is onduidelijk. Voor bitcoin ligt er een voorstel, BIP-360 (Pay-to-Merkle-Root), voor een nieuw adrestype dat bescherming biedt tegen aanvallen op publieke sleutels die lang zichtbaar op de blockchain staan. Op 1 oktober 2026 heeft dat voorstel de status "Draft"; het is dus niet ingevoerd. Volgens de BIP lopen vooral munten op adressen waarvan de publieke sleutel al zichtbaar is, zoals hergebruikte adressen, het eerste risico. Hergebruik daarom liever geen bitcoinadres; een moderne (HD-)wallet kan voor elke ontvangst een nieuw adres maken.

Veelgestelde vragen

Wat is het verschil tussen een private key en een public key?

Met de private key onderteken je transacties; die houd je geheim. De public key wordt eruit berekend en laat anderen controleren dat een handtekening klopt; daaruit volgt je adres, dat je mag delen. Andersom rekenen kan niet.

Is een seed phrase hetzelfde als een private key?

Niet precies. Uit de seed phrase (herstelwoorden) leidt de wallet al je privésleutels af, voor al je adressen en vaak voor meerdere netwerken tegelijk. Wie de woorden heeft, heeft dus al je sleutels.

Heb ik een private key als mijn crypto op een exchange staat?

Nee. De exchange beheert de sleutels; jij hebt een account. Wil je zelf de sleutels, dan stuur je je crypto naar een eigen wallet.

Mag ik mijn herstelwoorden of private key in een wachtwoordmanager bewaren?

Walletmakers raden elke digitale kopie af, en een wachtwoordmanager is ook digitaal: wie je account of apparaat overneemt, heeft dan je crypto. Papier of metaal op een veilige plek is de aanbevolen manier.

Kan ik mijn privésleutel veranderen?

Nee. Een sleutel hoort bij een adres, en herstelwoorden worden eenmalig gemaakt. Wil je nieuwe sleutels, maak dan een nieuwe wallet aan en verplaats je munten daarheen.

Wat doe ik als iemand mijn herstelwoorden heeft gezien?

Ga ervan uit dat de wallet niet meer veilig is. Maak direct een nieuwe wallet met nieuwe woorden en verplaats alles. Ook als er nog niets weg is: de ander kan op elk moment toeslaan, ook bij munten die je later naar die wallet stuurt.

Wat als ik mijn herstelwoorden kwijt ben maar de wallet nog werkt?

Maak direct een nieuwe wallet met nieuwe woorden en verplaats alles. Zonder woorden is je huidige wallet verloren zodra het apparaat kapotgaat.

Is een wachtwoord hetzelfde als een privésleutel?

Nee. Het wachtwoord van een wallet-app beschermt alleen de toegang op dat apparaat. De herstelwoorden zijn de echte sleutel; wie die heeft, heeft het wachtwoord niet nodig.