Xverse wallet review: beveiliging, herstel en de auditkloof

Xverse is een self-custodial Bitcoin-wallet van Secret Key Labs Limited, een bedrijf uit Hong Kong, beschikbaar als Chrome-extensie en als iOS- en Android-apps. De wallet rekent geen installatie- of opslagkosten en voegt geen toeslag toe aan een gewone Bitcoin-verzending. Prijzen voor aankopen, swaps en cross-chain-diensten worden bepaald door externe aanbieders. Xverse’s eigen STX-stackingpool houdt een beheerfee in op de beloningen.

Het bereik van de wallet binnen Bitcoin is groot. Naast BTC ondersteunt hij Ordinals, Runes en BRC-20-tokens, plus Stacks, Starknet, Spark en Lightning, en hij geeft een apart betaal- en Taproot-adres uit om de kans te verkleinen dat inscriptions of zeldzame sats als gewone Bitcoin-inputs worden geselecteerd.  

Testprofiel

Wat we hebben getest, en wat niet

We installeerden de Chrome-extensie op Windows, maakten vanaf nul een wallet aan, doorliepen de schermen Verzenden, Ontvangen, Kopen en Verkopen, noteerden de providerquotes voor een kaartkoop, verwijderden daarna de extensie, installeerden die opnieuw en herstelden de wallet vanuit de herstelzin.

We hebben geen kaartkoop afgerond, geen cross-chain betaling uitgevoerd, de externe swap-webapp niet gebruikt, geen hardware wallet gekoppeld en de mobiele apps niet getest. Naast de sessie lazen we het gepubliceerde auditrapport, de pagina’s over beveiliging en privacy, de support-kennisbank en de openbare GitHub-repositories. Alles wat daarvan afkomstig is en niet uit ons eigen gebruik komt, is als zodanig gelabeld.

Xverse in één oogopslag

Hoe je Xverse instelt

De setup doorloopt vier schermen en is in minder dan een minuut klaar.  

Getest op versie 2.7.3, op 19 augustus 2026.

Stap 1. Maak een nieuwe wallet aan of herstel een bestaande

De extensie opent met twee knoppen.

Screenshot: Xverse Chrome-extensie 

Stap 2. Lees de melding over gegevensverzameling

De app waarschuwt dat het anonieme gebruiksgegevens verzamelt om gebruikers beter te begrijpen en de app te verbeteren, en vermeldt dat de instelling kan worden gewijzigd.  

Screenshot: Waarschuwing gegevensverzameling

Stap 3. Stel het wachtwoord in en bevestig het

Het wachtwoord versleutelt de private keys op het apparaat.

Screenshot: Wachtwoord instellen

Stap 4. De wallet is aangemaakt — zonder back-up

De wallet bestaat op dit punt al en kan fondsen ontvangen. Xverse biedt tijdens de setup geen mogelijkheid om de herstelzin te tonen of te back-uppen, en vereist niet dat je die noteert voordat de wallet bruikbaar wordt.

Screenshot: voltooien van wallet-aanmaak 

De back-upvraag komt daarna

Wanneer je de extensie de volgende keer opent, biedt Xverse aan om de seed phrase te back-uppen.  

Screenshot: Herinnering voor back-up

Hoe Xverse adressen ordent

Het ontvangtscherm toont twee Bitcoin-adressen: een Native SegWit-adres en een Nested SegWit-adres.

Screenshot: Xverse ontvangscherm

Volgens Xverse’s documentatie scheidt de wallet assetfamilies op basis van adrestype, en houdt hij Ordinals, Runes en BRC-20-tokens op een Taproot-adres dat losstaat van de adressen die verhandelbare bitcoin bevatten. Een wallet die alle satoshi’s op één saldo samenvoegt, kan een satoshi met een waardevolle inscription selecteren als input voor een gewone betaling, waarna het artefact met het wisselgeld meereist. Gescheiden afleiding maakt dat structureel lastig.

Hoe Xverse bitcoin ontvangt en verzendt

Het verzendgedeelte heeft drie tabbladen.

Versturen naar adres vraagt om een ontvangersadres, een bedrag en een netwerkfee. De fee is aanpasbaar, met Medium- en High-prioriteitsniveaus voor snellere bevestiging.

Het supportmateriaal van Xverse legt uit dat fees worden geoffreerd in satoshis per virtuele byte en naar miners gaan, terwijl Secret Key Labs stelt dat het daar geen controle over heeft en er niet aan verdient. 

De transactiegrootte, en dus de kosten, hangt af van hoeveel inputs en outputs een betaling nodig heeft, dus een saldo dat uit veel kleine stukjes bestaat kost meer om te verplaatsen dan hetzelfde bedrag dat in één geheel wordt aangehouden. 

Xverse merkt ook op dat sommige wallets dezelfde koers uitdrukken in satoshis per weight unit, waarbij 1 sat/vB gelijk is aan 0,25 sat/WU — een tarief dat zonder conversie tussen wallets wordt overgenomen, is vier keer fout.

Screenshot: Xverse verzendscherm

Lightning toont één regel voor het adres.

Screenshot: Lightning-betalingsscherm

Cross-chain schakelt tussen stablecoins op verschillende netwerken, en bevat een waarschuwing dat de betaling wordt afgehandeld via Flashnet.

Screenshot: Cross-chain betalingsscherm

Drie tabbladen, drie afrekenmodellen, één verzendknop. On-chain wacht op blocks, Lightning rekent off-chain af, en de cross-chain-route is afhankelijk van een derde partij waarvan de meeste gebruikers nog nooit hebben gehoord en die ze niet zelf hebben gekozen.  

Hoe je bitcoin koopt met een kaart in Xverse

Xverse verkoopt zelf geen bitcoin. Het toont meerdere opties om crypto te kopen, waarvan er één een creditcardtransactie is, en via die route kun je kiezen uit een lijst met beschikbare providers.

Screenshot: Xverse koopscherm

Wallets die één on-ramp erin vlechten, verbergen wat het alternatief zou hebben gekost; een wallet die concurrerende providers opsomt, maakt de keuze weer tot een beslissing, en bij herhaalde aankopen stapelt die beslissing zich op. Elke provider op die lijst prijst zijn eigen dienst, en de wallet fungeert als een soort etalage.

Het koopscherm biedt een alternatief met het label Betalen met crypto, en als je dat selecteert word je doorgestuurd naar portfolio.xverse.app/swap, waar je een wallet koppelt om een transactie te starten.

Screenshot: Xverse Swap-app

De eigen supportdocumentatie van Xverse noemt Changelly als de provider achter cross-chain swaps, met een vaste slippage-tolerantie van 10% die niet aanpasbaar is.

Hoe je uitbetaalt

Het verkoopscherm zet BTC of stablecoins over naar een bankkaart of via SEPA-overboeking.

Screenshot: Xverse verkoopscherm

Beide richtingen verlopen via derden. SEPA-beschikbaarheid impliceert ook een Europees kanaal, wat betekent dat de beschikbare opties vrijwel zeker per regio verschillen.

Hoe te swappen 

Xverse heeft een swap-scherm, en dat werkt zonder je ergens naartoe door te sturen. Het converteert niet tussen ecosystemen. De aangeboden paren blijven op de Bitcoin-chain en dekken een gedefinieerde set Bitcoin-native assets. Ethereum, Solana en andere netwerken verschijnen niet als opties, dus wie hier ETH voor SOL wil verhandelen zal die koppeling niet vinden.

Screenshot: Xverse swapscherm

Een swap die beperkt blijft tot één chain verplaatst waarde alleen binnen Bitcoin. Wie iets anders wil aanhouden, moet nog steeds Bitcoin (BTC) omwisselen via een externe dienst, en Xverse biedt een route om dat via externe exchanges te doen (via Changelly). 

Ondersteunde netwerken en assets

Xverse dekt de basislaag van Bitcoin en een set ketens die eromheen zijn gebouwd: BTC, Ordinals, Runes, BRC-20-tokens en Rare Sats op Bitcoin zelf, daarna Stacks met zijn SIP-10-tokens, Starknet, Spark, sBTC en Lightning. Stablecoin-ondersteuning omvat USDC en USDB, en het cross-chain-tabblad op het verzendscherm verplaatst stablecoins tussen netwerken.

Drie kanttekeningen zijn belangrijk.

Assets uit andere ecosystemen komen binnen via conversie, niet via opslag. Het native aanhouden van Solana (SOL) of Ethereum (ETH) vereist nog steeds een tweede wallet.

De lagen rekenen onderling verschillend af. Bitcoin wacht op blocks, Lightning rekent off-chain af, en Stacks en Starknet hanteren elk hun eigen bevestigingsmodel. Eén interface dekt meerdere sets regels over wanneer geld daadwerkelijk is aangekomen.

En de lijst groeit. Xverse voegt lagen gestaag toe, dus kijk in de app zelf in plaats van naar een gepubliceerde lijst, ook deze review inbegrepen.

Wat er nog meer in de app zit

Xverse is ver voorbij opslag gegroeid, en de meeste uitbreidingen brengen een externe partij mee:

• Earn-producten, met Stacks-staking via de Xverse pool, WBTC native staking via de Xverse validator en BTC-staking via Lombard. De eigen site van Xverse stelt dat rendementen variabel zijn en nooit gegarandeerd worden.
• Xverse Cash, een tab voor stablecoins en betalingen via Spark en Starknet.
• Developer tooling: een openbare API, een Bitcoin-RPC-service, de Sats Connect-library en een agent wallet voor programmatisch gebruik.

Dat laatste hoort in een review omdat het een ontwerpkeuze is en geen bug. Elke pop-up traint de gebruiker om een modal weg te klikken zonder die te lezen, en een wallet verbruikt zijn resterende geloofwaardigheid aan de modals die er het meest toe doen — die om een handtekening vragen. De gewoonte is goedkoop om aan te leren en duur om af te leren.

Let op wat die breedte elders kost. Elke integratie is een plek waar code die Xverse niet zelf heeft geschreven om goedkeuring vraagt, en de beveiliging van de wallet is slechts zo sterk als de zwakste daarvan. Dat is een bewuste afweging van het product, en een redelijke ook, maar wel één die je met open ogen moet maken.

Wat je zelf kunt verifiëren

Dit is waar marketing en bewijs uit elkaar lopen.

• Broncode. Secret Key Labs publiceert de browser-extensie, de core library en Sats Connect op GitHub. We vonden geen openbare repository voor de iOS- of Android-applicaties. Voor de browser-extensie is de broncode beschikbaar onder een aangepaste niet-commerciële licentie.
• Audits — één, uit 2021. We vonden één openbare audit van een derde partij: Least Authority’s review uit 2021 van de toenmalige Stacks mobiele wallet. We vonden geen gepubliceerd rapport over de huidige extensie, Bitcoin-native assets, Starknet, Spark, Lightning, swaps of provider-aggregatie.
• Privacy — deels controleerbaar. Xverse’s beveiligingspagina zegt dat de dienst geen accountadressen of balances volgt. Het privacybeleid is breder: het staat het verzamelen toe van walletadressen, transactiegegevens, gebruiksdata, apparaat-ID’s, IP-adressen, browser- en OS-gegevens en informatie die door functies van derden wordt verwerkt. Deze twee officiële beschrijvingen zijn niet volledig consistent.

Dit maakt de wallet niet onveilig. Het betekent dat de twee garanties waarop een zorgvuldige gebruiker het sterkst leunt, zwakker zijn dan ze lijken.

Beveiligingsincidenten

Eén gemeld incident is een kort openbaar verslag, en Xverse handelde door een eigen melding uit te geven met daarin de oorzaak, de getroffen versies, de blootstellingsvoorwaarden en de fix, gepubliceerd binnen een dag.

De fout zat niet in de cryptografie, maar in een aanname over de omgeving eronder — een wachtwoordfunctie die werkte zoals ontworpen terwijl de browser de geheime data toch naar schijf schreef. Xverse merkte op dat blootstelling een reeds gecompromitteerde machine vereiste.

Herstel: werkt de back-up?

Een back-up die niemand heeft getest is een hoop. We verwijderden de Chrome-extensie, installeerden die opnieuw op een Windows-machine en herstelden vanaf de herstelzin, opgeslagen zoals een herstelzin opgeslagen hoort te worden.

De herstelstroom vraagt welke wallet je wilt herstellen in plaats van er één te veronderstellen.

Screenshot: scherm voor wallet-herstel

Xverse gebruikt de bron-walletselector om het derivatiepad te kiezen dat door de oorspronkelijke client is gebruikt. Als je de verkeerde bron selecteert, kunnen onverwachte adressen of een leeg saldo verschijnen, zelfs als de herstelzin zelf correct is.

De adressen komen teken voor teken overeen, en het saldo en de geschiedenis kwamen ermee terug. Dat is het resultaat dat je wilt, en het is de moeite waard om dat duidelijk te zeggen, omdat het belangrijkste onderdeel van elke walletreview het onderdeel is dat bewijst dat het verlaten werkt.

Eén kanttekening die de test niet dekt: we hebben het Native SegWit-adres geverifieerd. Iedereen die Ordinals, Runes of BRC-20-tokens aanhoudt, moet na een herstel apart het Taproot-adres controleren, omdat die assets daar zitten, en een overeenkomend BTC-saldo zegt daar niets over.

Waar de interface ons in de war bracht

De wallet bestaat voordat de back-up bestaat. De setup wordt voltooid, de wallet kan fondsen ontvangen en de herstelzin is nog niet getoond. De melding komt bij de volgende start en kan worden weggeklikt. Niets in de flow markeert de wallet ondertussen als niet-geback-upt, en de volgorde draait stilletjes de regel om die elke walletgids leert.

Screenshot: Xverse promotionele pop-ups 

Sterktes

• Afzonderlijke Bitcoin-betaal- en Taproot-adressen verkleinen het risico om per ongeluk inscriptions en rare sats te besteden.
• Het geteste herstel bracht het Native SegWit-adres, saldo en geschiedenis in minder dan een minuut terug.
• Koopquotes worden vergeleken tussen meerdere providers in plaats van verborgen achter één integratie.
• De wallet ondersteunt Bitcoin-native assets naast Stacks, Starknet, Spark, Lightning en stablecoin-betaalroutes.
• Xverse publiceerde na het extensie-incident in 2023 een gedetailleerde eigen melding en herstelmaatregel.

Beperkingen

• De extensie en core library zijn bron-beschikbaar onder een beperkende niet-commerciële licentie, niet open source.
• Er werd geen officiële openbare repository voor de mobiele clients gevonden.
• De enige gevonden openbare audit van een derde partij dateert uit 2021 en gaat vooraf aan de meeste huidige functies.
• Xverse’s privacy-marketing en privacybeleid beschrijven gegevensverzameling verschillend.
• Swap-, betaal-, Lightning-, aankoop-, verkoop- en opbrengstfuncties zijn afhankelijk van meerdere externe providers.
• De setup laat de wallet bruikbaar worden voordat de herstelzin is geback-upt.

Voor wie Xverse geschikt is, en voor wie niet

Als je Ordinals, Runes of Rare Sats vasthoudt

De aparte Taproot-derivatie is precies voor deze assets een structurele bescherming. Een wallet die alle satoshi’s bundelt, kan een waardevolle inscription uitgeven als onderdeel van een fee, en geen enkele oplettendheid op het moment van verzenden voorkomt dat betrouwbaar.

Als je regelmatig bitcoin met een kaart koopt

Dertien opties met providervergelijking doet iets wat de meeste wallets niet doen: het laat je zien wat alternatieven zouden kosten in plaats van ze achter één integratie te verbergen. Bij herhaalde aankopen is die zichtbaarheid meer waard dan polish van de interface.

Als je code leest voordat je erop vertrouwt

De mobiele apps hebben geen openbare repository die we konden vinden, en de ene gepubliceerde audit dateert uit 2021 en gaat over een product dat hier niet meer op lijkt. De extensie is de enige build die je kunt inspecteren.

Als je een klein aanvalsoppervlak wilt

Aankopen, verkopen, staking, cross-chain betalingen, een externe swap-app en een agent wallet vergroten dat oppervlak allemaal, en de frequente promotionele modals trainen precies de reflex waarop een kwaadaardige prompt rekent. Een wallet die alleen bitcoin verstuurt en ontvangt, geeft je minder plekken om iets goed te keuren dat je niet volledig hebt gelezen.

Als dit je eerste wallet zou zijn

De volgorde van de setup pleit daartegen. Een wallet die al uit te geven is voordat hij je de herstelzin laat zien, legt de last van het opmerken bij iemand die nog niet weet waar hij op moet letten.

Oordeel

Xverse is het sterkst voor gebruikers die Bitcoin, Ordinals, Runes en andere Bitcoin-native assets actief beheren vanuit één interface. De herstelstroom werkte goed in het geteste Xverse-naar-Xverse-scenario, maar het verificatieverhaal is zwakker dan de marketing van “open source en regelmatig geaudit” doet vermoeden. Het is een feature-rijke wallet voor actief gebruik, niet de duidelijkste keuze voor gebruikers die prioriteit geven aan een minimaal aanvalsoppervlak, volledig open clientcode en recente auditdekking.

Alternatieven

• Exodus — houdt Bitcoin naast tientallen andere assets, met een kaart-on-ramp en livechat-support in de app. De kernapplicatie is closed source, dus de afweging tegenover Xverse werkt de andere kant op: bredere dekking en snellere hulp, minder om te inspecteren. Kies Exodus boven Xverse als je een gemengde portfolio hebt en supportreactie belangrijker vindt dan Bitcoin-native asset handling.
• Trust Wallet — dekt Bitcoin, Ethereum, Solana en meer vanuit één herstelzin, met kaartaankopen in de app. Het biedt geen ondersteuning voor Ordinals, Runes of BRC-20, dus wie Bitcoin-native artefacten aanhoudt, verliest de adresseparatie waarop Xverse is gebouwd. Het is de moeite waard om te vermelden dat de browserextensie van Trust Wallet in december 2025 een bevestigde compromise heeft ondergaan, versie 2.68 trof en in 2.69 werd opgelost — een categorie gebeurtenis die Xverse’s openbare geschiedenis nog niet bevat.
• Rabby — exclusief gebouwd voor EVM-netwerken, zonder enige Bitcoin-ondersteuning, dus het is eerder een aanvulling dan een vervanger voor de meeste Xverse-gebruikers. De reden om het hier te noemen is de auditpositie: Rabby publiceert een reeks gedateerde derde-partijrapporten, wat de norm is waaraan Xverse’s ene document uit 2021 moet worden afgemeten. Kies Rabby als je holdings alleen EVM zijn en verifieerbaarheid belangrijker is dan breedte van assets.

Veelgestelde vragen

Wat kost Xverse?

Niets om te installeren en niets om assets in te bewaren, en Secret Key Labs neemt geen deel van een wallettransactie. Je betaalt Bitcoin-netwerkfees on-chain, met aanpasbare prioriteitsniveaus op het verzendscherm. Daarbovenop bepalen derden hun eigen kosten: de purchase provider bij een kaartkoop, en Flashnet bij een cross-chain betaling.

Is Xverse veilig om te gebruiken?

Het is self-custodial, en Xverse stelt dat het geen fondsen kan bevriezen of benaderen. Er staat één incident in het openbare dossier, uit juni 2023, toen herstelzinnen in een onversleuteld Chrome-log terechtkwamen; er zijn geen verliezen gemeld en het werd binnen enkele dagen gepatcht. Onze hersteltest slaagde probleemloos. De zwakkere punten zitten in verificatie, niet in incidenten.

Is Xverse open source?

Deels. De browser-extensie, de core library en Sats Connect staan op GitHub, en Xverse’s eigen beveiligingsmelding uit 2023 beperkt die claim tot de extensie. We vonden geen openbare repository voor de iOS- of Android-apps, dus mobiele gebruikers kunnen de code die zij draaien niet inspecteren. Xverse brengt het product als open source op de markt, terwijl de twee belangrijkste publieke wallet-repositories een beperkende custom licentie gebruiken.

Is Xverse geaudit?

Eén keer, publiekelijk. Least Authority voltooide op 27 augustus 2021 een rapport over wat het beschreef als een mobiele wallet-applicatie voor de Stacks-blockchain. We vonden geen gepubliceerd rapport over Ordinals, Runes, provider-aggregatie of een Bitcoin-laag die sindsdien is toegevoegd. De uitspraak “regelmatig geaudit” rust op dat ene document van vijf jaar oud.

Waarom toont Xverse mij twee Bitcoin-adressen?

Het ontvangscherm toont een Native SegWit- en een Nested SegWit-adres. Xverse scheidt assetfamilies op basis van adrestype, en de documentatie plaatst Ordinals, Runes en BRC-20-tokens op een Taproot-adres los van verhandelbare bitcoin, zodat een waardevolle inscription nooit als input voor een gewone betaling wordt gekozen en als wisselgeld verloren gaat.

Kan ik munten swappen binnen Xverse?

Xverse heeft meerdere conversie- en betaalroutes in plaats van één universele swap-engine. BTC-naar-STX-swaps lopen binnen de wallet via Changelly. Runes-swaps vergelijken meerdere marktplaatsen en liquiditeitsverschaffers. Een aparte webapplicatie handelt conversies af vanuit externe ecosystemen zoals Ethereum of Solana, terwijl de cross-chain-route op het verzendscherm een stablecoin-betaalflow is met Flashnet.

Vereist Xverse identiteitsverificatie?

Niet om een wallet aan te maken of te houden — de setup vraagt alleen om een wachtwoord. Kopen of verkopen is anders, omdat die via derden verlopen die hun eigen controles uitvoeren voordat ze fondsen of geld vrijgeven. Xverse vermeldt dit op de eigen site in plaats van je het zelf te laten ontdekken.

Stelt de herstelzin alles terug?

In onze test wel voor Bitcoin. We installeerden de extensie opnieuw op Windows, voerden de zin in, en het Native SegWit-adres kwam teken voor teken overeen, met saldo en geschiedenis intact in minder dan een minuut. Houders van Ordinals of Runes moeten het Taproot-adres apart verifiëren, aangezien een overeenkomend BTC-saldo daar niets over bewijst.

Bronnen

Alle links gecontroleerd op 19.08.2026.

• Officiële site, beveiligingspagina en FAQ van Xverse
• Xverse beveiligings- en auditpagina
• Audit van Secret Key Labs Xverse Wallet door Least Authority, 27 augustus 2021
• Index van gepubliceerde audits van Least Authority
• Xverse beveiligingsmelding: encryptieprobleem Chrome-extensie, 7 juni 2023
• Openbare repositories van Secret Key Labs
• Xverse support: hoe te swappen van ETH of SOL naar BTC
• Xverse support: onvoldoende saldo bij inclusief transactiekosten
• Xverse support: hoe transactiekosten worden geschat
• Xverse ontwikkelaarsdocumentatie
• Xverse in de Chrome Web Store