Beveiligingsincident bij Bitonic

Op zondagavond 25 oktober hebben onbevoegden toegang gekregen tot een deel van onze systemen. Daarbij is van de accounts van drie klanten een klein bedrag in bitcoin opgenomen. De klanten zijn volledig gecompenseerd. In dit artikel lees je wat er is gebeurd, wat we hebben gedaan en wat je zelf kunt doen.

Wat is er gebeurd?

Op zondagavond hebben we vastgesteld dat onbevoegden via een kwetsbaarheid toegang hadden gekregen tot een deel van onze systemen. We hebben uit voorzorg de getroffen systemen en ook onze hot wallet direct offline gehaald. Bij drie accounts zijn zonder toestemming kleine bitcoinopnames gedaan. Bij twee accounts zijn de inloggegevens gewijzigd.

De kwetsbaarheid is direct verholpen en de systemen zijn volledig hersteld.

Welke gegevens zijn betrokken?

De aanvaller heeft gegevens in onze systemen kunnen wijzigen, waaronder de inloggegevens van meerdere accounts. We kunnen op dit moment niet uitsluiten dat de aanvaller ook persoonsgegevens van andere klanten heeft ingezien. Op basis van wat we nu weten lijkt dat niet het geval, maar ons onderzoek daarnaar loopt nog.

De toegang bleef beperkt tot het systeem met inloggegevens. Andere systemen en de cold wallets van Bitonic zijn nadrukkelijk niet bij dit incident betrokken.

Wat doen wij?

• De getroffen klanten hebben we persoonlijk geïnformeerd en hun bitcoin volledig vergoed.
• We gaan door met grondig technisch onderzoek naar de oorzaak en omvang.
• We nemen aanvullende maatregelen om herhaling te voorkomen.
• We informeren de betrokken toezichthouders.

Wat kun je zelf doen?

• Verander je tweestapsverificatiemethode (2FA) van e-mail/sms naar TOTP (met een authenticator-app) als je dat nog niet hebt gedaan.
• Wanneer je je wachtwoord bij Bitonic ook ergens anders hebt gebruikt of je een zwak wachtwoord hebt gebruikt. Overweeg dan om uit voorzorg je Bitonic-wachtwoord te wijzigen in de app of op de website.

Overige tips

• Stel een (tijdelijke) blokkade in voor bitcoinopnames, dit kan via de Bitonic app.
• Stel een persoonlijke anti-phishingzin in, zodat je officiële e-mails van Bitonic eenvoudig herkent.
• Wees alert op berichten die van Bitonic lijken te komen. Bitonic vraagt je nooit om je wachtwoord of inlogcodes te delen, of om je bitcoin naar een ander adres te sturen.
• Voor iedereen die aan self-custody doet, deel nooit je herstelzin (seed phrase) of private keys.
• Zie je iets in je account dat je niet herkent? Neem dan direct contact met ons op via onze officiële kanalen of e-mail ons via contact@bitonic.nl.

Huidige status

Onze dienstverlening is weer volledig beschikbaar.

Het spijt ons dat dit is gebeurd. Je vertrouwt ons je bitcoin en je gegevens toe, en we nemen die verantwoordelijkheid zeer serieus. We hebben er alle vertrouwen in dat we onze klanten weer veilig van dienst kunnen zijn. Zodra er nieuwe ontwikkelingen zijn, werken we dit artikel bij.