Inbraak bij Bitonic: bitcoin van drie klanten gestolen, iedereen moet opnieuw inloggen
Onbevoegden kwamen zondagavond binnen in een deel van de systemen van Bitonic en namen een klein bedrag aan bitcoin op bij drie klanten. Die klanten kregen alles vergoed en het lek is gedicht. Bitonic sluit niet uit dat ook gegevens van andere klanten zijn ingezien en raadt iedereen aan zijn inlogbeveiliging te controleren.
Bitonic is een Nederlands handelsplatform waar klanten bitcoin kopen en verkopen. Het bedrijf meldde de inbraak op maandag 26 oktober in een bericht op de eigen website.
Wat er zondagavond gebeurde
De aanvaller kwam binnen via een kwetsbaarheid in het systeem met de inloggegevens van klanten. Bij drie accounts nam de aanvaller zonder toestemming bitcoin op, bij twee andere veranderde hij de inloggegevens. Om hoeveel bitcoin het ging, zegt Bitonic niet.
Het bedrijf haalde de getroffen systemen direct offline, en ook de hot wallet. Dat is de wallet die online staat zodat opnames snel verwerkt worden. De cold wallets, waarin Bitonic bitcoin offline bewaart, waren volgens het bedrijf niet bij de inbraak betrokken.
Persoonsgegevens mogelijk ingezien
De aanvaller kon gegevens in de systemen wijzigen. Of hij daarbij ook persoonsgegevens van andere klanten heeft bekeken, weet Bitonic nog niet. "Op basis van wat we nu weten lijkt dat niet het geval", schrijft het bedrijf, maar het onderzoek loopt nog.
De drie getroffen klanten zijn persoonlijk ingelicht. Bitonic zegt de betrokken toezichthouders te informeren en het bericht bij te werken zodra er meer bekend is. De dienst werkt inmiddels weer normaal.
Wat je als klant merkt
Uit voorzorg heeft Bitonic alle klanten uitgelogd, dus je moet opnieuw inloggen in de app en op de website. Opnames van bitcoin krijgen voorlopig een extra controle. Een opname kan daardoor langer duren, of Bitonic belt of mailt je eerst voordat het de opname verwerkt.
Wat je zelf kunt doen
Bitonic geeft klanten een paar concrete adviezen:
- Gebruik je voor tweestapsverificatie (2FA, de extra code die je naast je wachtwoord invult) nog e-mail of sms? Stap dan over op een authenticator-app, die de code zelf op je telefoon maakt.
- Gebruik je je Bitonic-wachtwoord ook ergens anders, of is het zwak? Verander het dan.
- Zet in de app een tijdelijke blokkade op bitcoinopnames. Zolang die aanstaat, kan er geen bitcoin van je account worden opgenomen.
- Stel een anti-phishingzin in: een zin die je zelf kiest en die je terugziet in echte e-mails van Bitonic. Zo herken je nepberichten.
Let extra op phishing, berichten die van Bitonic lijken te komen maar van oplichters zijn. Bitonic vraagt nooit om je wachtwoord of inlogcodes en vraagt je nooit om bitcoin naar een ander adres te sturen. Zie je iets in je account dat je niet herkent, mail dan direct naar [email protected].