Bitonic gaat aangifte doen na hack en bevestigt schade van €200

De Nederlandse Bitcoin broker Bitonic komt met nieuwe informatie over de hack van 25 oktober. Bij het beveiligingsincident krijgen hackers toegang tot vijf klantaccounts, waarvan bij drie daadwerkelijk Bitcoin wordt gestolen. In totaal gaat het om slechts 0,003 BTC, met een waarde van ongeveer €200. In een update van 28 oktober legt Bitonic uit hoe de aanvallers binnenkomen en welke maatregelen het bedrijf inmiddels neemt.

De aanval komt op zondagavond 25 oktober aan het licht wanneer een klant verdachte activiteit op zijn account meldt. Bitonic haalt daarop uit voorzorg zijn diensten offline. De getroffen klanten krijgen hun gestolen Bitcoin nog dezelfde nacht volledig terug en maandagochtend om 05.00 uur is de dienstverlening alweer beschikbaar.

Kwetsbaarheid in PDF functie maakt hack mogelijk

Uit het onderzoek blijkt dat de aanvallers binnenkomen via een kwetsbaarheid in de functie waarmee klanten PDF bestanden uploaden voor hun identiteitsverificatie.

Het probleem zit volgens Bitonic in een softwarebibliotheek die wordt gebruikt om deze documenten te verwerken. Hierdoor kunnen onbevoegden toegang krijgen tot een deel van de systemen.

Het bedrijf ontdekt de oorzaak nog dezelfde nacht, stelt de digitale sporen veilig en verhelpt de kwetsbaarheid. Vervolgens worden de getroffen systemen opgeschoond.

De aanvaller slaagt erin om vijf accounts over te nemen. Bij drie daarvan worden Bitcoin opnames uitgevoerd zonder toestemming van de eigenaren.

Bitonic controleert vervolgens alle opnames en accountwijzigingen uit de betreffende periode. Daarbij komen geen andere getroffen accounts naar voren.

Persoonsgegevens en cold wallets blijven buiten schot

Een belangrijke vraag na de hack is of de aanvallers ook toegang krijgen tot persoonlijke documenten van klanten.

Volgens Bitonic blijven identiteitsbewijzen en andere gevoelige documenten veilig. Deze gegevens worden versleuteld opgeslagen in een afzonderlijk systeem waartoe de aanvaller geen toegang heeft.

Ook zijn er buiten de vijf overgenomen accounts geen aanwijzingen dat persoonsgegevens worden buitgemaakt. Het bedrijf kan dit echter nog niet volledig uitsluiten zolang het onderzoek loopt.

Daarnaast blijven de cold wallets van Bitonic buiten het incident. Hierin bewaart het bedrijf het grootste deel van zijn Bitcoin reserves.

Bitonic meldt het beveiligingsincident inmiddels bij de Autoriteit Financiële Markten (AFM) en de Autoriteit Persoonsgegevens (AP). Ook staat het bedrijf in contact met de politie en bereidt het een aangifte voor.

Bitonic scherpt beveiliging tijdelijk aan

Klanten hoeven volgens Bitonic momenteel zelf geen actie te ondernemen. Wel controleert het bedrijf Bitcoin opnames tijdelijk strenger en houdt het de systemen extra in de gaten.

Gebruikers die hun account beter willen beveiligen, krijgen het advies om een opnameblokkade in te stellen. Daarmee kunnen ze via de app een wachttijd toevoegen voordat Bitcoin wordt opgenomen.

Daarnaast adviseert Bitonic om tweestapsverificatie te gebruiken, bij voorkeur via een authenticator app.

Het bedrijf waarschuwt klanten ook om alert te blijven op phishing berichten die afkomstig lijken van Bitonic.

Met de nieuwe update wordt duidelijk dat de financiële schade beperkt blijft tot ongeveer €200. Het onderzoek naar de volledige omvang van het incident loopt ondertussen verder.