Bitonic is gehackt: criminelen stalen bitcoin van klanten

De Nederlandse cryptobeurs Bitonic is gehackt. Criminelen hebben bij drie klanten bitcoin opgenomen zonder toestemming, zo zegt het bedrijf. Bitonic heeft alle klanten automatisch uitgelogd en houdt opnames in de gaten.

De kwetsbaarheid waarmee de criminelen binnen konden komen is verholpen, zegt Bitonic. De criminelen hadden toegang tot een deel van de systemen en daarop zijn 'hot wallets' offline gehaald. 'Cold wallets', die vaak offline staan opgeslagen, zijn niet getroffen.

De criminelen konden bij het systeem waar inloggegevens staan. "We kunnen op dit moment niet uitsluiten dat de aanvaller ook persoonsgegevens van andere klanten heeft ingezien", aldus het bedrijf. Het onderzoek naar de hack loopt nog. Bitonic heeft de drie getroffen klanten gecompenseerd. Bij twee accounts zijn inloggegevens gewijzigd. De hack vond zondagavond plaats. Bitonic zegt niet wat voor kwetsbaarheid de criminelen hebben gebruikt om binnen te komen.

Reacties (33)

[Necrathex]

Zoals hierboven ook al genoemd ging het om een kwetsbaarheid in de library die gebruikt wordt voor het verwerken van pdf's.

We gaan nog een uitgebreide technische post-mortem plaatsen, maar we wilden eerst onze klanten op de hoogte stellen omdat we afgelopen nacht uit de lucht waren terwijl we het lek aan het dichten waren en om zeker te weten dat er geen verdere toegang meer mogelijk was.

Gelukkig ging het om een zeer klein aantal klanten en kleine hoeveelheden bitcoin, en waren we er relatief snel bij. Maar de grootste schade is het vertrouwen, dat moeten we herstellen.

Ik ben trouwens Niels van Groningen, oprichter en directeur bij Bitonic. Voor als er gerichte vragen zijn.

[kevinr1]

Jullie hebben nu de bitcoin 'teruggeven' aan de slachtoffers. Dat kan mogelijk omdat het om een zeer klein aantal gaat. Hoe zouden jullie omgaan als het om meerdere klanten gaat, een bedrag buiten jullie budget om?

Btw Niels, woon je ook in Groningen?

[Reactie gewijzigd door kevinr1 op 26 oktober 2026 18:47]

[Necrathex]

Daarom hebben we (naast andere maatregelen) ook een splitsing in de zogenaamde hot en cold wallets. In het uiterste geval moeten we dan de hoeveelheid uit de hot wallet vergoeden. Zo houden we het risico beheersbaar.

[darwusch]

Welke klantgegevens staan er op de getroffen server? Ook woonadressen?

[Blockchain]

Het viel mij al op dat ik automatisch was uitgelogd. Zojuist kreeg ik ook een e-mail van Bitonic:

Op zondagavond 25 oktober hebben onbevoegden toegang gekregen tot een deel van onze systemen. Daarbij zijn van de accounts van drie klanten zonder toestemming kleine bedragen in bitcoin opgenomen. Deze klanten hebben we volledig gecompenseerd. Onze cold wallets zijn niet getroffen en de kwetsbaarheid is verholpen. Op dit moment kunnen we niet uitsluiten dat ook persoonsgegevens van andere klanten zijn ingezien. Ons onderzoek loopt nog.

Uit voorzorg hebben we je uitgelogd uit alle actieve sessies. Je moet daarom opnieuw inloggen in de app en op de website.

Omdat ons onderzoek naar het incident nog loopt, houden we onze systemen en bitcoinopnames extra nauwlettend in de gaten. Hierdoor kan een opname iets langer duren dan je gewend bent, of nemen we contact met je op voordat we deze verwerken.

Wees alert op berichten die van Bitonic lijken te komen. We vragen je nooit om je wachtwoord of inlogcodes, of om je bitcoin naar een ander adres te sturen. Gebruik je voor tweestapsverificatie (2FA) nog e-mail of sms? Dan raden we je aan over te stappen op een authenticator-app (TOTP).

In ons nieuwsartikel lees je meer over wat er is gebeurd en wat je zelf kunt doen. We werken dit artikel bij naarmate ons onderzoek vordert.

Heb je vragen? Neem dan contact met ons op via e-mail ([e-mail]), via de chat of telefonisch op [phone] (op werkdagen van 10:00 tot 12:00 uur).

Het spijt ons oprecht dat dit is gebeurd. We doen er alles aan om onze systemen en je tegoeden veilig te houden.

Met vriendelijke groet,

Bitonic

[.oisyn]

Ik vraag me af of hier de recente PHP vulnerability aan ten grondslag lag. Het klinkt wel als een mogelijkeheid, als ik deze dingen zo lees:

Op zondagavond hebben we vastgesteld dat onbevoegden via een kwetsbaarheid toegang hadden gekregen tot een deel van onze systemen
[..]
De aanvaller heeft gegevens in onze systemen kunnen wijzigen, waaronder de inloggegevens van meerdere accounts
[..]
De toegang bleef beperkt tot het systeem met inloggegevens. Andere systemen en de cold wallets van Bitonic zijn nadrukkelijk niet bij dit incident betrokken.

Zou wel heel slecht zijn als ze op zondag die systemen nog steeds niet hadden gepatcht. Maar goed, het kan natuurlijk net zo goed iets compleet anders zijn

[Reactie gewijzigd door .oisyn op 26 oktober 2026 17:21]

[Necrathex]

Ik vraag me af of hier de recente PHP vulnerability aan ten grondslag lag.

Nee, die hebben we netjes gepatcht. Het ging hier om een kwetsbaarheid in de library die gebruikt word voor het verwerken van pdf's.

[Dacuuu]

Heeft het iets met Collabora te maken gehad?

[Smuggler]

Kan best zijn dat die toegang die ochtend van het php probleem al is vergaard. Daarna wacht je tot het weekend om toe te slaan.

Als je eenmaal een systeem binnen bent kan je best even wachten voordat je je zichtbaarder maakt.

[gorgi_19]

Niet alleen PHP had problemen. Ook nodejs had een probleem (naast bijvoorbeeld Go) en uiteindelijk ook .Net heeft ook een probleem. Weliswaar was het minder makkelijk te exploiten, maar in bepaalde configuraties nog steeds, en had je ook te maken met een RCE.

Het is dan ook koffiedik kijken wat de echte oorzaak is geweest.

[Reactie gewijzigd door gorgi_19 op 26 oktober 2026 17:44]

[neversium]

De criminelen konden bij het systeem waar inloggegevens staan.

Ik vind het aardig ernstig dat ze een systeem hebben waar inloggegevens staan met wachtwoorden die niet gehasht zijn of waar een zwakke hash gebruikt wordt.

[Necrathex]

inloggegevens staan met wachtwoorden die niet gehasht zijn

Dat is niet het geval, de wachtwoorden zijn beveiligd met zeer sterke hashing. Helaas konden de aanvallers een eigen hash injecteren en zo inloggen.

[Roberto4646]

Dat staat helemaal niet in het artikel. Of heeft u nog andere informatie?

Als ze toegang hadden tot de hashes, dan is het een kwestie van tijd dat je de (makkelijkste) wachtwoorden hebt met een beetje GPU.

[JJ Le Funk]

Voor wie het niet treft, stel een grotere hack leidt tot insulventie ben je dan aangewezen op de curator of een soort van deposito garantie stelsel?

[Lagonas]

Nee, dit soort toko's zijn geen bank, dus ze vallen niet onder het deposito garantie stelsel, en als ze zelf zo een stelsel zouden hebben op welke manier dan ook dan weet ik niet of je dat moet vertrouwen mochten ze toch omvallen.

Het deposito garantie stelsel geldt overigens nooit voor virtuele valuta.

[Yzord]

Op zich logisch, maar waar is die dure vergunning dan voor? Je moet tegenwoordig hemel en aarde bewegen om zo’n vergunning te krijgen en naar wat ik weet ook aardig prijzig.

[Lucas]

Klanttegoeden staan in een stichting derdengelden die onafhankelijk is van de BV

[LootersV]

Ik zeg altijd: “not your keys, not your money” In de wereld van Bitcoins is het nooit de vraag of maar eerder wanneer het gekraakt wordt. Deze maand de ene volgende maand de andere

[Kaasrol]

Ik deelde deze mening al 10 jaar maar in het licht van recente hardware-wallet compromises moet ik hier toch op terugkomen. Het alternatief van hosted wallets is geen haar beter, maar met al het nieuws rondom Coldcard en de Ledger supply chain aanval wordt het praktisch onmogelijk om fatsoenlijk je keys te beheren.

Een goed antwoord hierop heb ik niet maar dat er werk aan de winkel is moet duidelijk zijn.

[Reactie gewijzigd door Kaasrol op 26 oktober 2026 18:01]

[The Dawn]

Leg nooit al je eieren in hetzelfde mandje.

[MIB75]

De Coldcard hack en de Ledger supply chain attack hadden al geen effect gehad als je een multisig wallet had gebruikt. Dat is lastig op te zetten voor een niet-Tweaker, maar daarmee kan je wel de meeste problemen voorkomen. Niet 100%, maar dat zal je nooit lukken.

[KRiZiES]

Ik heb gelezen dat ze bij de supply chain attack van Ledger, via een toegevoegde mobiele dataverbinding, de codes die op het display worden afgebeeld versturen.

Met een multi-signature zouden die dan toch ook verstuurd zijn? Of begrijp ik de werking hiervan niet?

[BlueTooth76]

Ik heb m'n bitcoin wallet al sinds 2011 op papier.
Geen Ledger nodig.

Uiteraard wel een client, zoals Bitcoin Core of Electrum, als ik een transactie wil uitvoeren.
Is dat veilig? Heb er speciaal een oude laptop voor die alleen online gaat als ik een transactie doe, client software is vaak al 3-12 maanden oud dus als er ernstige bugs in zitten is dat vast wel al opgevallen.

[kevinr1]

Hamvraag, krijgen de slachtoffers nu hun bitcoin terug?

[De Nelis]

Dat is al gebeurd.

Deze klanten hebben we volledig gecompenseerd.

[Marve79]

Waarschijnlijk klanten met een kleine wallet.

[Lagonas]

Dat staat in de top reactie onder het artikel:

Daarbij zijn van de accounts van drie klanten zonder toestemming kleine bedragen in bitcoin opgenomen. Deze klanten hebben we volledig gecompenseerd.

[samida]

Staat in artikel? Zijn meteen gecompenseerd

[kevinr1]

Grappig, wat nou als het zou gaan om 10.000 klanten.

[Netburst]

Wat als de hackers geld storten in plaats van opnemen?

[Ryunoru]

Nou, wat dan?

[iqcgubon]

vergoediMoet dat dan? De cryptobros roepen toch zo graag dat ze alles decentraal willen, zonder bemoeienissen? Als ze gaan vergoeden klinkt dat als een bank. En dat willen we net niet

[Rzarect0r]

Ah bitonic, ooit overpriced bitcoin gekocht bij ze voor 10 euro per stuk Een deel er van staat nog vast op m’n silk road wallet

[Reactie gewijzigd door Rzarect0r op 26 oktober 2026 18:37]