Konstantin Shulga, CEO van Tangem – Interviewreeks

Konstantin Shulga is CEO van Tangem en heeft bijna twintig jaar ervaring op het gebied van kapitaalmarkten, institutionele handel en financiële dienstverlening aan consumenten. Voordat hij deze functie op zich nam, richtte hij mede Finery Markets op, een elektronisch communicatienetwerk voor institutionele partijen in digitale activa, en bouwde hij in Europa een retailbedrijf voor beleggingsbemiddeling op. Nadat hij eerder in de raad van bestuur van Tangem had gezeten, leidt hij nu de uitbreiding van hardwarewallets naar een breder financieel platform dat is gebouwd rond zelfbeheer.

Tangem is een in Zwitserland gevestigd bedrijf dat hardwarewallets en software voor het beheren van digitale activa zonder tussenkomst van een bewaardienst ontwikkelt. De kaart- en ringwallets maken via NFC verbinding met een smartphone-app. Het bredere ecosysteem omvat ook een mobiele wallet en integraties voor handel, staking, gedecentraliseerde applicaties en betalingen. In dit interview bespreekt Shulga de beveiliging van hardware, herstel, onveranderlijke firmware, lessen uit institutionele markten en de ontwikkeling van wallets tot alledaagse financiële interfaces.

Voordat je CEO van Tangem werd, richtte je mede Finery Markets op en werkte je een groot deel van je carrière aan de ontwikkeling van infrastructuur voor institutionele handel en kapitaalmarkten. Wat bracht je oorspronkelijk naar digitale activa, en hoe leidde die reis uiteindelijk naar Tangem en de consumentenmarkt voor crypto?

Ik heb bijna 20 jaar in kapitaalmarkten gewerkt, zowel voor institutionele als voor consumentgerichte bedrijven. Voordat ik Finery Markets oprichtte, bouwde ik een van de grootste retailbedrijven voor beleggingsbemiddeling in Europa op. In veel opzichten is mijn overstap naar Tangem dus een terugkeer naar de consumentenmarkt.

Wat me aantrok in digitale activa was de kans om financiële infrastructuur vanaf de grond op te bouwen. De markt ontwikkelde zich snel, maar instellingen misten veel van de hulpmiddelen die ze in de traditionele financiële sector gewend waren. We hebben Finery Markets opgericht om dat probleem aan te pakken met een elektronisch communicatienetwerk voor banken, brokers, betalingsaanbieders en marketmakers.

Bij Tangem ligt de kans erin diezelfde ambitie waar te maken voor alledaagse gebruikers. Als bestuurslid zag ik hoe enthousiast de community op het product reageerde. Mensen waardeerden oprecht de eenvoud en de controle die het hun gaf.

Die terugkoppeling vind ik zo mooi aan consumentgerichte bedrijven: je bouwt iets nuttigs en ziet hoe honderdduizenden of miljoenen mensen erop reageren. Tangem combineert dat enthousiasme van klanten met een van de grootste groeikansen die ik in mijn carrière heb gezien. De volgende stap is om van een product dat mensen al vertrouwen hun belangrijkste financiële app te maken.

De markt voor hardwarewallets wordt steeds concurrerender. Als de kernbelofte van elke hardwarewallet in wezen veilige zelfbewaring is, hoe onderscheidt Tangem zich dan, behalve door simpelweg te beweren dat het veilig is?

Elke hardwarewallet claimt veilig te zijn, dus die bewering op zichzelf zegt niets. Ik beoordeel een beveiligingsproduct zoals ik een handelsplatform beoordeel: op basis van zijn staat van dienst, onafhankelijke audits en gedrag onder druk.

Wat de staat van dienst betreft: er zijn meer dan 6 miljoen Tangem-wallets in gebruik en sinds de lancering in 2017 is er geen geld verloren gegaan door een inbreuk. Kudelski Security en Riscure hebben onze firmware gecontroleerd, Cure53 heeft onze mobiele SDK’s geaudit en onze chip heeft de Common Criteria-certificering EAL6+.

De meeste cryptoverliezen zijn te wijten aan menselijk handelen: verloren seed phrases, phishing en mislukte back-ups. Tangem voorkomt deze faalpunten door het ontwerp.

De hardwarewallet zelf is eenvoudig en onopvallend. Een zwarte ring om je vinger of een onopvallende kaart in je zak: geen kabels, batterijen of ingebouwde onderdelen. Juist die eenvoud maakt het product veilig.

Het tweede onderscheidende kenmerk is wat je kunt doen nadat je je activa hebt beveiligd. In één app kunnen Tangem-gebruikers handelen, rendement behalen, toegang krijgen tot DeFi en betalen met een Visa-kaart waarbij ze zelf de controle behouden.

Er zijn verschillende spelers op de markt voor hardwarewallets, maar als het gaat om dagelijks gebruik voor financiële zaken komt niemand ook maar in de buurt van Tange. De hardwarewallet van Tangem is één onderdeel van een financieel platform dat is gebouwd rond zelfbeheer. De markt ziet hardwarewallets als kluizen; wij zien de kluis slechts als het fundament.

Tangem plaatst het beveiligingselement in een kaart of ring en gebruikt een smartphone als belangrijkste interface, in plaats van een scherm en knoppen. Welke afwegingen lagen aan dit ontwerp ten grondslag, en hoe ga je om met gebruikers die denken dat een apart scherm een extra beveiligingslaag biedt?

Bij het ontwerp van Tangem stelden we ons één vraag: wat heeft de gemiddelde persoon al bij zich en vertrouwt diegene al? Moderne smartphones hebben al hoogwaardige schermen, snelle processors, beveiligingselementen, biometrische functies en NFC-antennes.

Een tweede scherm, een batterij en knoppen in een apart apparaat brengen extra kosten, mogelijke storingen en ongemak met zich mee. Batterijen raken leeg, kabels gaan kapot en meldingen over updates vormen op zichzelf al een aanvalsvector.

Dus kozen we voor de eenvoudigste oplossing: de telefoon zorgt voor de weergave en de privésleutel blijft in een gecertificeerd beveiligingselement dat nooit door een telefoon, app of server wordt aangeraakt.

Ik begrijp het argument voor een scherm, maar de markt overschat het belang ervan. Een eigen scherm beschermt de gebruiker alleen wanneer die een lang adres op een klein display leest en controleert. De meeste gebruikers bevestigen echter wat ze zien zonder het daadwerkelijk te controleren.

Aanvallers weten dat, en daarom maken ze elke maand misbruik van blind ondertekenen en contracten die wallets leegroven op hardwarewallets met een scherm. Een scherm is maar zo goed als de persoon die het leest.

Wij zorgen ervoor dat de transactie goed leesbaar is op de plek waar de gebruiker daadwerkelijk kijkt. We investeren fors in de app. De Tangem-app behandelt de telefoon als een vijandige omgeving, met controles op de integriteit tijdens runtime, bescherming tegen debugging en emulatie, detectie van roottoegang en jailbreaks, versleutelde opslag en certificaatvalidatie. Daarnaast blokkeert bescherming tegen tapjacking onzichtbare overlays en spoort veilige invoerverwerking malafide toetsenborden op.

De kaart of ring heeft geen batterij en maakt fysiek geen permanente verbinding. Het apparaat haalt alleen stroom uit het NFC-veld van de telefoon wanneer het een transactie ondertekent.

Tangem benadrukt dat privésleutels worden gegenereerd in een gecertificeerd beveiligd element met EAL6+-certificering en daar ook blijven, terwijl de firmware onafhankelijk is gecontroleerd. Welke aanvalsvectoren baren u momenteel de meeste zorgen, en hoe beschermt het beveiligingsmodel gebruikers tegen uiteenlopende dreigingen, van fysieke compromittering van het apparaat tot kwaadaardige apps en aanvallen op de toeleveringsketen?

De aanvallen waar ik me het meest zorgen over maak, zijn aanvallen die op grote schaal kunnen worden uitgevoerd. Phishing, kwaadaardige tokenmachtigingen, adresvergiftiging en nepapps in appstores stelen elk jaar veel meer cryptovaluta dan hardware-exploits ooit hebben gedaan.

Ons beveiligingsmodel gaat uit van die realiteit en bestaat uit drie lagen.

De eerste laag is de chip. Een gecertificeerd hardwareapparaat genereert de privésleutel in een gecertificeerd beveiligd element; de sleutel verlaat die chip nooit.

De tweede laag is de levenscyclus van het apparaat. Sleutels worden pas aangemaakt wanneer de gebruiker de wallet aanmaakt. Er bestaat dus geen sleutel in de fabriek, tijdens het transport of op onze servers. Voordat de configuratie begint, controleert de app of elke kaart of ring authentiek is.

De derde laag is de software. De sleutel wordt nooit op de telefoon opgeslagen, waardoor een gecompromitteerde telefoon of kwaadaardige app de sleutel niet kan buitmaken.

De beveiliging van de toeleveringsketen berust op hetzelfde principe. Een apparaat dat zonder sleutel, seed of bijwerkbare firmware wordt verzonden, biedt een aanvaller niets om vooraf op het apparaat te zetten, te vervangen of er later naartoe te sturen.

Meer veiligheid gaat vaak ten koste van gebruiksgemak en herstelmogelijkheden. Met Tangem kunnen gebruikers back-ups maken op meerdere apparaten; ook biedt het optionele ondersteuning voor een seed phrase. Hoe bepaalt u de juiste balans tussen het beperken van single points of failure en het begrijpelijk maken van herstel voor gewone gebruikers?

Een seed phrase op papier scoort in theorie goed, maar in de praktijk slecht: mensen raken die kwijt, maken er een foto van of typen hem in op phishingwebsites.

Tangem biedt hiervoor een hardwarematige oplossing met redundantie. Een Tangem-set bevat twee of drie apparaten die dezelfde wallet delen, zodat een gebruiker er één thuis kan bewaren en het andere bij zich kan dragen.

Gebruikers die een seed phrase willen, kunnen er tijdens de configuratie voor kiezen. Ervaren bezitters die meerdere wallets beheren of een offline vastlegging willen, selecteren deze optie; gewone gebruikers slaan die over.

De juiste balans bereik je door het herstelmodel af te stemmen op de gebruiker. We kiezen standaardinstellingen die beginners beschermen en geven gevorderde gebruikers ook volledige controle over het alternatief.

De firmware van Tangems hardware kan niet worden bijgewerkt. Dat verkleint de kans op kwaadaardige firmware-updates, maar betekent ook dat functionaliteit niet zomaar met een patch kan worden aangepast. Waarom heeft Tangem voor deze architectuur gekozen, en hoe gaat u gedurende de levensduur van een apparaat om met nieuw ontdekte kwetsbaarheden of veranderende cryptografische vereisten?

Met onveranderlijke firmware kan niemand kwaadaardige code naar een Tangem-kaart sturen: geen aanvaller, kwaadwillende medewerker of derde partij. De code die een gebruiker ontvangt, is dezelfde code die onafhankelijke auditors hebben gecontroleerd.

Risico’s op de lange termijn worden op drie niveaus beheerd. Op softwareniveau wordt de app voortdurend doorontwikkeld, zodat we netwerken, tokens, functies en beveiligingscontroles kunnen toevoegen zonder de firmware van de hardware aan te passen.

Op hardwareniveau brengen we nieuwe apparaatgeneraties uit, die elk de nieuwste chipmogelijkheden benutten. De wallet die momenteel op de markt is, is de tweede generatie van de Tangem Wallet.

Op onderzoeksniveau hebben we een programma voor het melden van kwetsbaarheden en laten we onafhankelijke audits uitvoeren. Veranderingen in de cryptografie, waaronder de vraag wat kwantumcomputing op de lange termijn betekent, sluiten goed aan bij de kracht van onze hardwarecyclus. Onze apparaatgeneraties volgen elkaar veel sneller op dan welke geloofwaardige tijdlijn voor een cryptografisch relevante kwantumcomputer ook.

Tangem is naast zijn hardwareproducten ook een mobiele wallet gaan aanbieden. Die is onlangs onafhankelijk gecontroleerd door Cure53. Hoe ziet u de respectieve rollen van mobiele wallets en speciale hardwarewallets, en met welke soorten gebruikers of welke omvang van hun vermogen moet rekening worden gehouden bij de keuze om van het ene beveiligingsmodel naar het andere over te stappen?

Treasuryafdelingen lossen dit probleem elke dag op. Ze houden het werkkapitaal dichtbij en direct beschikbaar, en bewaren hun reserves in de kluis.

Een Tangem Mobile Wallet kan dienen als operationele rekening. De wallet blijft volledig in eigen beheer en biedt 3 back-upmogelijkheden: een herstelzin, een cloudback-up en de Tangem-hardwarewallet. Gebruikers kunnen beginnen met de mobiele wallet en, wanneer hun saldo groeit, de beveiliging upgraden naar een kaart of ring en hun spaargeld naar koude opslag verplaatsen, zonder een nieuw product te hoeven leren kennen of het ecosysteem te verlaten.

Mijn vuistregel is eerder emotioneel dan cijfermatig. Als het verlies van het saldo op je mobiele wallet je maand zou ruïneren, hoort dat saldo op een hardwarewallet.

Je achtergrond omvat institutionele elektronische handel, infrastructuur voor cryptomarkten en nu zelfbeheer van cryptoactiva voor consumenten. Welke lessen uit de traditionele financiële markten moeten nog in de infrastructuur voor digitale activa worden verwerkt voordat crypto een veel bredere institutionele en algemene acceptatie kan ondersteunen?

Traditionele markten hebben hun lessen geleerd door crises; crypto doorloopt dezelfde leercyclus opnieuw. Drie lessen zijn het belangrijkst.

Ten eerste: scheid de functies. In de traditionele financiële sector worden handel, clearing, afwikkeling en bewaring verzorgd door verschillende gereguleerde partijen. FTX liet precies zien wat er gebeurt wanneer één bedrijf alles afhandelt met geld van klanten.

Ten tweede: beprijs het tegenpartijrisico. Instellingen hebben handel nodig waarbij de kredietwaardigheid is getoetst, onafhankelijke afwikkeling en duidelijke regels over wie wat bewaart. Ook particuliere gebruikers hebben diezelfde duidelijkheid nodig, in begrijpelijke taal.

Ten derde: maak beveiliging verifieerbaar. SOC 2, Common Criteria en onafhankelijke audits bestaan omdat vertrouwen moet worden aangetoond, en elk serieus cryptobedrijf zou de onderbouwing daarvan moeten publiceren.

De resterende lacune is de marktstructuur. Crypto is de meest gefragmenteerde activaklasse uit de geschiedenis en is verspreid over honderden handelsplatformen. Aandelenmarkten maakten in de jaren 90 dezelfde consolidatie door, toen elektronische handel de markten met elkaar verbond.

Algemene acceptatie komt er wanneer mensen crypto kunnen gebruiken zonder expert te worden en de onderliggende infrastructuur saai, betrouwbaar en verifieerbaar is. Dat is de norm die ik vanuit de kapitaalmarkten meeneem naar Tangem.

Nu wallets zich ontwikkelen tot interfaces voor swaps, staking, betalingen, gedecentraliseerde applicaties en mogelijk getokeniseerde reële activa: waar ligt volgens jou de grens tussen het aanbieden van nuttige financiële functionaliteit en het introduceren van extra beveiligings- of tegenpartijrisico’s in een product waarbij gebruikers hun activa zelf beheren?

De grens is eenvoudig: de sleutel verlaat de gebruiker nooit. Elke functie die we toevoegen, moet aan die voorwaarde voldoen; alles waarvoor wij klanttegoeden moeten bewaren, valt af.

Binnen die grens krijgen gebruikers toegang tot enorme functionaliteit. Ze wisselen activa om via liquiditeit van derden, staken on-chain, maken verbinding met dApps en betalen met een kaart. Elke stap ondertekenen ze met hun eigen sleutel.

Elke integratie brengt eigen risico’s met zich mee, en het is onze taak om die zichtbaar te maken. Risico’s van smart contracts, protocolrisico’s en tegenpartijrisico’s bij een liquiditeits- of betalingspartner zijn reëel; de gebruiker verdient het daarover geïnformeerd te worden.

De infrastructuur van de markten heeft me geleerd rollen te scheiden. Tangem biedt de interface en de beveiligingslaag, gespecialiseerde partners leveren liquiditeit en verzorgen staking en betalingen, en geen enkele partij beheert zowel de activa als de uitvoering.

Voor getokeniseerde reële activa geldt dezelfde logica. Een getokeniseerd schatkistbiljet of aandeel dat de eigenaar zelf beheert, geeft die eigenaar controle over iets dat de waarde van het activum volgt. Dat is een structurele verbetering ten opzichte van het aanhouden van een vordering via een keten van tussenpersonen.

Als het goed wordt gedaan, leidt meer functionaliteit tot minder risico in totaal. Gebruikers die alles vanuit hun eigen wallets regelen, laten hun geld niet langer staan op gecentraliseerde platforms, waar de grootste cryptoverliezen ontstaan.

Hoe kijk je een aantal jaar vooruit? Denk je dat het begrip ‘cryptowallet’ als zelfstandig product blijft bestaan, of worden wallets steeds vaker een bredere laag voor financiële identiteit en vermogensbeheer, met ruimte voor cryptovaluta, stablecoins, getokeniseerde effecten, betalingen en andere vormen van digitaal eigendom?

De zelfstandige cryptowallet is een overgangsproduct. Over vijf jaar spreken mensen niet meer van een ‘cryptowallet’, net zoals ze ook niet meer spreken van ‘internetbankieren’.

De wallet is de plek waar je activa aanhoudt, rendement behaalt, uitgeeft, verzamelt en bezit. Dat is de richting waarin we bij Tangem bouwen: een financieel platform dat crypto vooropstelt en is gebaseerd op zelfbeheer.

Bedankt voor het geweldige interview. Lezers die meer willen weten over hardwarewallets, zelfbeheer en dagelijks beheer van digitale activa, kunnen terecht bij Tangem.