Beveiligingsincident bij Bitonic (update)

Op zondagavond 25 oktober hebben onbevoegden toegang gekregen tot een deel van onze systemen. Daarbij is van de accounts van drie klanten een klein bedrag in bitcoin opgenomen. De klanten zijn volledig gecompenseerd. In dit artikel lees je wat er is gebeurd, wat we hebben gedaan en wat je zelf kunt doen.

Wat is er gebeurd?

Op zondagavond hebben we vastgesteld dat onbevoegden via een kwetsbaarheid toegang hadden gekregen tot een deel van onze systemen. We hebben uit voorzorg de getroffen systemen en ook onze hot wallet direct offline gehaald. Bij drie accounts zijn zonder toestemming kleine bitcoinopnames gedaan. Bij twee accounts zijn de inloggegevens gewijzigd.

De kwetsbaarheid is direct verholpen en de systemen zijn volledig hersteld.

Welke gegevens zijn betrokken?

De aanvaller heeft gegevens in onze systemen kunnen wijzigen, waaronder de inloggegevens van meerdere accounts. We kunnen op dit moment niet uitsluiten dat de aanvaller ook persoonsgegevens van andere klanten heeft ingezien. Op basis van wat we nu weten lijkt dat niet het geval, maar ons onderzoek daarnaar loopt nog.

De toegang bleef beperkt tot het systeem met inloggegevens. Andere systemen en de cold wallets van Bitonic zijn nadrukkelijk niet bij dit incident betrokken.

Wat doen wij?

• De getroffen klanten hebben we persoonlijk geïnformeerd en hun bitcoin volledig vergoed.
• We gaan door met grondig technisch onderzoek naar de oorzaak en omvang.
• We nemen aanvullende maatregelen om herhaling te voorkomen.
• We informeren de betrokken toezichthouders.

Wat kun je zelf doen?

• Verander je tweestapsverificatiemethode (2FA) van e-mail/sms naar TOTP (met een authenticator-app) als je dat nog niet hebt gedaan.
• Wanneer je je wachtwoord bij Bitonic ook ergens anders hebt gebruikt of je een zwak wachtwoord hebt gebruikt. Overweeg dan om uit voorzorg je Bitonic-wachtwoord te wijzigen in de app of op de website.

Overige tips

• Stel een (tijdelijke) blokkade in voor bitcoinopnames, dit kan via de Bitonic app.
• Stel een persoonlijke anti-phishingzin in, zodat je officiële e-mails van Bitonic eenvoudig herkent.
• Wees alert op berichten die van Bitonic lijken te komen. Bitonic vraagt je nooit om je wachtwoord of inlogcodes te delen, of om je bitcoin naar een ander adres te sturen.
• Voor iedereen die aan self-custody doet, deel nooit je herstelzin (seed phrase) of private keys.
• Zie je iets in je account dat je niet herkent? Neem dan direct contact met ons op via onze officiële kanalen of e-mail ons via contact@bitonic.nl.

Huidige status

Onze dienstverlening is weer volledig beschikbaar.

Het spijt ons dat dit is gebeurd. Je vertrouwt ons je bitcoin en je gegevens toe, en we nemen die verantwoordelijkheid zeer serieus. We hebben er alle vertrouwen in dat we onze klanten weer veilig van dienst kunnen zijn.

Update: 28 oktober

We kunnen inmiddels meer vertellen over het incident.

Op zondagavond 25 oktober meldde een klant verdachte activiteit op zijn account. We zijn direct een onderzoek gestart en hebben uit voorzorg al onze diensten offline gehaald. Nog dezelfde nacht hebben we de oorzaak vastgesteld: een kwetsbaarheid in de pdf-uploadfunctie van ons verificatiesysteem, in de library die we gebruiken voor het verwerken van pdf-bestanden. We hebben de sporen van de aanvaller veiliggesteld voor verder onderzoek, de kwetsbaarheid verholpen en onze systemen opgeschoond. Maandagochtend om 05.00 uur waren onze diensten weer beschikbaar.

Via deze kwetsbaarheid heeft de aanvaller vijf accounts overgenomen. Bij drie daarvan is bitcoin opgenomen, in totaal 0,003 BTC, ter waarde van ongeveer €200. Die klanten hebben we nog dezelfde nacht volledig vergoed. Alle vijf klanten hebben we persoonlijk geïnformeerd. We hebben alle opnames en accountwijzigingen uit die periode nagelopen en daarbij geen andere getroffen accounts gevonden.

Persoonlijke documenten van klanten, zoals identiteitsbewijzen, bewaren we versleuteld in een apart systeem. Daar had de aanvaller geen toegang toe. Buiten de vijf overgenomen accounts hebben we geen aanwijzingen dat persoonsgegevens van klanten zijn buitgemaakt. Zolang ons onderzoek loopt, kunnen we dat nog niet volledig uitsluiten. Zoals eerder gemeld, zijn de cold wallets van Bitonic, waarin het overgrote deel van de bitcoin wordt bewaard, niet bij het incident betrokken.

Je hoeft op dit moment zelf niets te doen. We houden onze systemen nauwlettend in de gaten en controleren bitcoinopnames tijdelijk strenger. Wil je je account extra beveiligen, volg dan de tips hierboven. Vooral deze twee raden we aan: stel een opnameblokkade in, waarmee je in de app zelf een wachttijd voor bitcoinopnames instelt, en zet tweestapsverificatie (2FA) aan, bij voorkeur met een (offline) authenticator-app. Blijf daarnaast alert op berichten die van Bitonic lijken te komen.

We hebben de Autoriteit Financiële Markten (AFM) en de Autoriteit Persoonsgegevens (AP) geïnformeerd. Ook zijn we in contact met de politie en gaan we aangifte doen.

Zodra er nieuwe ontwikkelingen zijn, werken we dit artikel bij.