Cryptohandelsplatform Bitvavo meldt datalek bij 'beperkte groep gebruikers'

Het cryptovalutahandelsplatform Bitvavo heeft met diverse klanten contact opgenomen over een datalek. Hierbij zijn namen, mail- en woonadressen, IBAN's en 'recent handelsvolume' uitgelekt. Het platform zegt dat het gaat om 'een beperkte groep gebruikers' van wie informatie is uitgelekt.

Bitvavo geeft in het bericht geen details over hoe de data is uitgelekt. Bij het lek zijn voor- en achternaam, e-mail en woonadres, bankrekeningnummer, 'recent handelsvolume' en de laatste drie cijfers van het telefoonnummer betrokken. De tegoeden van gebruikers zijn veilig en Bitvavo zegt 'geen enkele aanwijzing te hebben dat wachtwoorden openbaar zijn'. Klanten wordt wel aangeraden het wachtwoord te wijzigen, 2fa in te stellen en alert te zijn op ongebruikelijke activiteit en mails. Het platform zegt het datalek te hebben gemeld bij 'de relevante autoriteiten'. Tweakers heeft Bitvavo vragen gesteld over het lek.

Update, 13.15 uur: Bitvavo zegt tegen Tweakers getroffen klanten op de hoogte te hebben gesteld, maar kan 'lopende het onderzoek' geen extra details geven. Het bedrijf zegt daarnaast pas na het onderzoek mededelingen te kunnen doen over 'eventuele extra maatregelen die we gaan nemen of hebben genomen'. Bitvavo zegt dat dit onderzoek samen met internet en externe experts verloopt, en zegt het datalek te hebben gemeld bij de Autoriteit Persoonsgegevens.

Reacties (73)

[Paul - K]

Ik vermoedde al zoiets Vorige week kreeg ik plots een telefoontje van iemand die zich voordeed als de fraude afdeling van Bitvavo. Ik ben niet makkelijk gek te krijgen, maar deze persoon wist plots zoveel specifieke informatie (naam, woon adres, bankrekening nummer) dat ik toch écht begon te twijfelen of het nou wel of niet legitiem was.

Bleek uiteindelijk niet zo te zijn, maar Bitvavo kon niet ontkennen of bevestigen dat er data was gelekt. Toch is de data waarmee deze poging werd gedaan erg specifiek gekoppeld aan de data ik bij Bitvavo had. Sterker nog, deze phisher wist mij zelfs te vertellen dat mijn account geïmporteerd was via LiteBit....

Oppassen mensen!

[ArnoutV]

Had ik paar dagen geleden. Gewoon Nederlands, niks moeilijk accent. Wist mijn complete naam, email adres en dus telefoonnummer.
Vanuit Duitsland zou er verdachte activiteit zijn geweest en of ik meteen een nieuwe virusscanner wilde installeren, via een link die voorgelezen zou worden.
Toen maar meteen opgehangen.


/edit Ook mijn account komt via Litebit

Gemaild naar fraude desk van Bitvavo en deze mail terug gekregen:

U geeft aan dat u (telefonisch) benaderd bent door een persoon die zich heeft voorgedaan als een medewerker van de bank/Bitvavo. Dit duidt op fraude. U kunt meer over deze vorm van oplichting vinden via de volgende link.

Heeft u bepaalde informatie met deze persoon gedeeld?

Mocht u nog vragen hebben, dan vernemen wij het graag.

[Reactie gewijzigd door ArnoutV op 22 juli 2024 13:31]

[XC9]

Heb ik ook gehad, deze mail van Bitvavo. Nadat ik hun had benaderd ivm verdacht telefoontje. Had niet geantwoord want... Heb niks bijzonders gedeeld en ben niet achterlijk.

Vervolgens heeft Bitvavo opnames (ook crypto transfers) van mn account geblokkeerd zonder te zeggen... Moest ik anti phishing code instellen voordat ze opnames zouden deblokkeren. 5 dagen en 3 mails later kon ik weer crypto transferren. Heel irritant.

Vond het ook wel bijzonder hoe de scammers aan al mijn gegevens zijn gekomen. Nooit aan gedacht dat Bitvavo zelf het lek had kunnen zijn geweest. Ik hen overigens geen mail van Bitvavo gehad over dit lek.

[robbinkg]

Ook gebeld, 15 minuten laten lullen en uiteindelijk gezegd dat die lul eens een echte baan moest gaan zoeken. Geen mail ontvangen van Bitvavo maar overduidelijk wel gelekt…. Prutsers

[ultimasnake]

Mogelijk dat jij een van de gedupeerde bent die aan de bel heeft getrokken waardoor ze het zijn gaan onderzoeken.

Ik heb geen mail maar zou eigenlijk wel op prijs stellen dat ze de klanten die niet de dupe zijn op de hoogte stellen. Dit voelt als het "Je bent geslaagd behalve als je Donderdag of Vrijdag gebeld wordt"-fenomeen.

[Frappuccino]

Helemaal mee eens.

[Reactie gewijzigd door Frappuccino op 22 juli 2024 13:31]

[DannyPeri]

Precies dit, ook telefoontje gehad met hetzelfde verhaal en ook geen bericht van Bitvavo.

[grizzlywilde]

Zou wel verwachten dat je dan een officieel bericht van Bitvavo zou krijgen dat jij één van de getroffen klanten was.

[Tvermeulen]

Hier ook precies hetzelfde, maar dan een maand of 2 terug. Ook een belletje waarbij ze veel informatie over mij konden vertellen(naam, adres, bankrekeningnummer). Gelukkig ben ik altijd wat terughoudend op de telefoon (als een onbekend nummer mij belt dan neem ik nooit op met mijn naam) en ik denk dat ze dachten dat ik achterdochtig was en ze verbraken vanzelf de verbinding.

Zelf schrok ik behoorlijk want ik had toevallig net die dag al mijn spaargeld overgemaakt naar een andere bankrekening en ik was even bang dat er iets verkeerd was gegaan.

Ik kan me niet herinneren of ik zelf ooit iets met bitvavo heb gedaan, wel heb ik daar ook een account gekregen via LiteBit. Misschien hebben ze alle gegevens in een Excelletje doorgestuurd

[Qlusivenl]

Ik had exact het zelfde telefoontje. Maar ik heb niets van Bitvavo gehoord verder.
Ik heb diegene gelijk opgehangen.

Je hoort bij het opnemen een pauze en opeens gaat een robotstem spreken. Was redelijk goed, maar je hoort dat wel. En toen die zei dattie van Bitvavo was wist ik genoeg, scam. doeiii.

[Cave_Boy]

o jij ook al? Ik ook.

[Yuboka]

Ook je geheime bitvavo paswoord?

[emre076]

ik heb dat een maand geleden gehad. precies het zelfde verhaal ze wisten echt heeel veel! ik geloofde het bijna. tot dat ik mijn pc moest scannen op virus en anydesk wilde installeren.

ik had bitvavo nog gemaild en uitgebreid uitgelegd
maarja kreeg zo een standaard antwoord.
met andere woorden ze hebben er niks mee gedaan.

[MOEL]

Het gevaarlijke van juist dit soort data is dat als bijvoorbeeld je naw-gegevens lekken een kwaadwillende vervolgens een "$5 wrench attack" kan uitvoeren, dus voor je deur staan en je hersens inslaan als je je hardware wallet niet afgeeft.

Heel eng dit.

In de Bitcoin wereld zegt men dan ook wel "KYC is the illicit activity". In de EU zijn alleen P2P platforms in staat je te laten handelen zonder KYC, maar daar staat dan weer tegenover dat de prijzen 5-10% hoger liggen.

[Orangelights23]

En hoe vaak komt het voor dat iemand je hersens inslaat om je crypto’s te stelen?

Het gaat allemaal om de impact en kans. Impact als dat gebeurt: heel hoog. Kans: minimaal.

[Cyb]

Kans: minimaal.

Wishful thinking. De kans hangt o.a. af van de hoogte van het bedrag, en of dat bij hen bekend is. Als criminelen bijvoorbeeld doorhebben dat jij bijv. 100.000 euro hebt verplaatst naar je hardware wallet, dan staat er binnen een korte tijd een team klaar die jou komt overvallen met martelwerktuig. Neem bijv. deze:
https://opsporingverzocht...waardevolle-cryptomunten/

[Reactie gewijzigd door Cyb op 22 juli 2024 13:31]

[Orangelights23]

Dus omdat het 1 keer gebeurd is volgens jouw bron, is de kans dat jet gebeurt opeens aanzienlijk hoog?

[helldogbe]

Dus jij zou nog lekker slapen als er nu op straat ligt dat je via Bitvavo 100k€ aan crypto bezit?

[Cyb]

De kans dat het bij een gemiddelde Nederlandse cryptobezitter gebeurt is erg klein. De kans dat het gebeurt bij iemand waarvan de gegevens zijn uitgelekt, is heel wat groter. Conditionele kans heet zoiets.

Het is eigenlijk gewoon een kwestie van jezelf even verplaatsen in het criminele brein. Criminelen plegen roofovervallen (of zelfs moorden) voor heel wat minder dan dat. Als zij denken dat er bij jou 100k klaar ligt, en ze denken dat dat slechts beveiligd is met een wachtwoord, dan hoeven ze alleen nog maar dat wachtwoord van jou te ontfutselen. Voor de gemiddelde psychopaat is het niet moeilijk om dat met fysiek geweld uit iemand te krijgen.

[ronaldmathies]

Er zijn zoveel agressieve personen in nederland, als zij deze lijst hebben en zien dat Orangelights23 64 bitcoins heeft en ze hebben je adres dan is het niet heel veel moeite om even langst te gaan.

In tegenstelling tot banken die een transactie limiet hebben naar andere rekeningen dan de rekening houder vraag ik mij af hoe je je hier tegen kan wapenen. Als je wallet onder dwang zo overgedragen kan worden ben je al een makkelijker doelwit dan welke Quote 500 persoon dan ook.

[Anoniem: 454358]

Misschien een wallet bij de bank in de kluis leggen? Maar gezellig zal het niet worden als er een paar criminelen snachts in je huis staan met een pistool op je kinderen gericht

[Vaevictis_]

Paar jaar geleden werd Vincent Evers overvallen tijdens het opnemen van een podcast. "Nu bitcoin geven." Dus als het bekend is is het zeker een risico.

[Orangelights23]

Precies wat ik schrijf: een risico met een hoge impact, maar een lage kans. Daarnaast is Vincent ook redelijk bekend en geen onbekende Nederlander.

[Anoniem: 454358]

Recent handelsvolume is ook bekend. Als jij voor 18 euro btc hebt gekocht zal dat dus wel meevallen, heb je voor 5 miljoen btc gekocht, dan wordt dat dus wel een mogelijkheid.

[ultimasnake]

Eerste wat mij te binnen schoot is dit nieuwsartikel, niet helemaal 1 op 1 met een datalek maar dit slachtoffer heeft toch echt zijn wallet/waarde in bitcoin moeten afstaan onder dwang.

https://www.omroepflevola...-van-al-zijn-cryptomunten

En laten we eerlijk zijn de personen die deze info nu hebben bemachtigd zullen geen padvinders zijn die koekjes willen verkopen voor een BTC.

[tw_gotcha]

misdadigers die dit soort data kunnen bemachtigen zijn echt wel slim genoeg om de personen te achterhalen waar wat te halen vslt

[lukjah]

En hoe vaak komt het voor dat iemand je hersens inslaat om je crypto’s te stelen?

https://github.com/jlopp/physical-bitcoin-attacks

[genosis]

Gelukkig zit er een aardig grote stap voor criminelen om iemand te scammen via de telefoon tegenover de fysieke aanpak. Ik denk dat het ook helpt dat je crypto niet makkelijk kan overmaken naar andere rekeningen vanaf Bitvavo bijvoorbeeld, dat maakt het toch weer een extra stap, extra moeite.

[AlphaWierie]

Ook ik ben gebeld door de Bitvavo ''helpdesk'' Ben er gelukkig niet ingetrapt maar ze konden behoorlijke wat specifieke info noemen zoals mijn adres en bankrekening. Erg kwalijke zaak!
Inmiddels heb ik contact opgenomen met de echte helpdesk van Bitvavo en ze zijn aan het inventariseren en daarna komen ze collectief met een antwoord.

[3raser]

Ah ja, eerst even inventariseren. Vooral niet de noodklok luiden en alle gebruikers actief waarschuwen voor dit soort praktijken. Je bent tenslotte pas persoon nummer 4 in 18 reacties die gebeld is.

[gooos]

Ja, stel je eens voor dat teveel gebruikers hun wachtwoord uit voorzorg bijwerken...

Altijd wel een vreemde houding van bedrijven om de pijn zo lang mogelijk uit te stellen. Ik snap dat ze ook wat details willen geven, maar aangezien dat meestal in de eerste berichten alsnog ontbreekt, is een algemene waarschuwing nooit verkeerd.

[Auredium]

Nu boeien mij Bitcoins niet zo veel. Maar als ik vragen mag?
Boven melden een paar dat ze hun account via Litebit hebben geïmporteerd naar Bitvavo; was dat bij jou toevallig ook het geval?

Want dat zou mss een pointer kunnen zijn voor mensen om te achterhalen hoe groot de kans is als dat een factor is bij de gegevens.

[AlphaWierie]

Nee ik heb niks via Litebit geimporteerd. Ook nooit een account of wallet daar gehad.

[Bor]

"Een beperkte groep gebruikers" is natuurlijk zo vaag als het maar kan en een mooi stukje damage control.

Wat is beperkt? Zijn dat 3, 300, 3000 mensen of meer? Of iets beperkt is hangt mede af van het totale klantenbestand. Iets kan relatief beperkt zijn maar nog steeds een groot aantal mensen treffen.

Omdat er verder geen enkele informatie lijkt te zijn of hoe de gegevens zijn gelekt kan je maar weinig met dit soort berichten helaas.

[3raser]

Een hele vage term inderdaad. De helft van al hun gebruikers zou al "beperkt" kunnen worden genoemd. Maar de impact is dan ook al enorm. Bitvavo zal ongetwijfeld bang zijn om met de billen bloot te gaan. Zeker gezien ik hier al meerdere reacties lees van mensen die telefonisch zijn benaderd naar aanleiding van dit lek.

[Cyberpuppy]

Alle gebruikers minus één, is ook al een beperkte groep

Ik vraag me altijd af hoe het kan dat men toegang heeft tot een beperkte groep? Je hebt toegang tot een database met gebruikers of niet, zou ik redeneren.

[plambo]

Helaas. Ik was zo stom om er vol in te trappen.
Deden zich voor als rabo medewerker
Ben benieuwd of er compensatie komt.

[Liberteh]

Wat is er precies gebeurd? Kwam je account ook weg via LiteBit toevallig?

[plambo]

Nee die had ik paar jaar geleden al opgezegd

[Wille002]

Is hier ook gebeurt. Telefoontje van medewerker rabobank.
Dermate goed op de hoogte van detailinfo dat ik er ook in ben getrapt.
Na veel omwegen, virusscanner op telefoon en pc via Rabobank omgeving naar Bitvavo en daar hun slag geslagen.
Bitvavo reageert koeltjes en geeft niet thuis vanwege Anydesk tool. Ook in mijn geval was er sprake van een Litebit account.
Nu snap ik waar die detailinformatie vandaan is gekomen.

Hoe nu verder?

[P_de_B]

Mijn account was een week oud en ik heb de email gekregen. Zou het echt zo recent zijn? Wel raar met de anderen die reageren dat ze al eerder zogenaamd gebeld zijn door de helpdesk van Bitvavo.

Ik vraag me echt af of alles klopt. Heb in ieder geval alles maar weer weggehaald bij Bitvavo.

[xoniq]

Sws niet recent. Krijg al langere tijd spam van Bitvavo uit het niets, over account problemen, maar niet van Bitvavo zelf. Dus ik vermoedde al iets, en dit bericht van Tweakers bevestigd het. Wou het zelf al onderzoeken.

[HenkEisDS]

De statement van Bitvavo dat ze geen enkele aanwijzing hebben dat wachtwoorden openbaar zijn is nogal nietszeggend van een partij die zojuist IBAN en handelsvolume heeft gelekt aan derden.

Sowieso is de statement dat ze 'geen aanwijzing' hebben nietszeggend. Zegt dit iets over hun incompetentie om aanwijzingen te kunnen vinden of over de kwaliteit van het systeem dat wachtwoorden opslaat?

Het feit dat ze WEL op twitter posten over nieuwe listings, maar NIET over dit lek is ook veelzeggend over hoe serieus ze dit nemen.

[Reactie gewijzigd door HenkEisDS op 22 juli 2024 13:31]

[synoniem]

Ik word al weken bestookt met Bitvavo phishingmails terwijl ik geen zaken met hen doe. Vraag me af of er een relatie is met dit datalek, bijvoorbeeld om ook wachtwoorden te achterhalen van de gelekte gebruikers.

[ReZpie]

Heel veel mensen zijn gebeld door oplichters die een account hebben bij bitvavo. Ze weten verdomd veel over je. Veel mensen hebben dit maanden geleden al gemeld bij ze, en er werd telkens op gereageerd alsof ze het voor het eerst hoorde. En nu pas hoor je iets officieels wat ook vaag is.

Ik heb het idee dat er amper adequaat gehandeld wordt door ze.

[MrTeamMate]

Dat verklaard de Crypto WhatsApp groepen waar ik opeens in zit... Moeilijk irritant dit...