Op zondagavond 25 oktober ontdekten medewerkers van de Nederlandse bitcoin-beurs Bitonic dat onbevoegde personen hun netwerken hadden binnengelopen. De indringers maakten gebruik van een zwakte in een externe PDF-verwerking-library, waardoor ze toegang kregen tot het gedeelte van de infrastructuur dat de hot wallet en inloggegevens beheert.
Hoe de inbraak plaatsvond en welke schade werd aangericht
Na het exploiteren van de kwetsbaarheid konden de aanvallers twee accounts aanpassen en bij drie andere accounts kleine hoeveelheden bitcoin overmaken. Bitonic meldt dat het exacte volume niet bekend isgemaakt, maar benadrukt dat het om een “klein bedrag” ging. De gestolen fondsen zijn direct terugbetaald; de drie getroffen klanten hebben hun volledige verlies vergoed gekregen. Andere digitale portefeuilles, de zogenaamde cold wallets die offline bewaard worden, bleven onaangetast.
De hackers wijzigden tevens de inloggegevens van meerdere gebruikers. Bitonic kon niet meteen uitsluiten of er nog andere persoonsgegevens werden ingezien, maar tot nu toe zijn er geen aanwijzingen voor bredere datalekken. Het onderzoek naar mogelijke extra dataverzamelingen loopt nog.
Reactie van Bitonic en de genomen beveiligingsmaatregelen
Direct na ontdekking hebben de verantwoordelijken de getroffen systemen en de hot wallet offline gehaald. De kwetsbaarheid is inmiddels gepatcht en alle diensten zijn weer operationeel, zij het met strengere controlemechanismen waardoor opnames tijdelijk langer kunnen duren. Bitonic heeft de betrokken toezichthouders, waaronder de Autoriteit Financiële Markten (AFM), formeel geïnformeerd.
Om herhaling te voorkomen, adviseert Bitonic haar klanten hun wachtwoord te wijzigen, vooral wanneer dezelfde combinatie elders is gebruikt. Daarnaast wordt sterk aanbevolen om twee-factor-authenticatie (2FA) te vervangen door een authenticator-app in plaats van sms of e-mail, aangezien dit veiliger is tegen phishing en social engineering. Het platform waarschuwt ook voor nep-berichten die om inlogcodes of een bitcoin-overdracht vragen; Bitonic vraagt nooit om dergelijke informatie.
De directeur Niels van Groningen onderstreepte dat de combinatie van een beperkte hot wallet en een grote offline reserve de maximale potentiële schade heeft begrensd. In het “ultieme scenario” zou alleen het bedrag uit de hot wallet gecompenseerd moeten worden, waardoor het risico beheersbaar blijft.
Bitonic, opgericht in 2012 onder de naam iDealCoin en later omgedoopt tot de huidige naam, is de oudste in Nederland opererende bitcoin-exchange. Het bedrijf heeft in het verleden verschillende marktcrises overleefd en beschikt sinds november 2025 over een vergunning onder de Europese MiCA-wetgeving. De recente hack onderstreept zowel de kwetsbaarheid van digitale platformen als de robuuste herstelcapaciteit van een ervaren speler in de cryptomarkt.
