Nederlandse Bitcoinbeurs Bitonic is gehackt, maar het bedrijf stelt klanten gerust

De Nederlandse Bitcoinbeurs Bitonic is gisteravond getroffen door een hack, zo heeft het bedrijf vanavond laten weten. Via een lek in een stukje software haalden aanvallers Bitcoins weg bij een handvol klanten.

De schade blijft (gelukkig) beperkt. Het bedrijf kwam snel met een geruststellend bericht en zelfs getroffenen hoeven niet wakker te liggen.

Beveiligingsincident bij de stokoude Bitcoinbroker

In een bericht op zijn website zet Bitonic op een rij wat er gebeurde. Op zondagavond 25 oktober kregen onbevoegden toegang tot een deel van de systemen, waarna bij drie klanten zonder toestemming ”kleine Bitcoinopnames” wisten uit te voeren.

De aanvallers kwamen binnen via een kwetsbaarheid in een library voor het verwerken van pdf’s. Zo’n library is een kant-en-klaar stuk software dat ontwikkelaars in hun eigen systemen inbouwen.

Bij twee accounts veranderden ze ook de inloggegevens. Om hoeveel bitcoin het precies gaat, maakt het bedrijf niet bekend, maar de drie getroffen klanten hebben alles al volledig vergoed gekregen.

Om hoeveel Bitcoins het precies gaat, maakt het bedrijf niet bekend. De getroffen klanten zijn persoonlijk ingelicht, en later volgt een uitgebreide technische analyse van wat er misging.

Uit voorzorg ging Bitonic afgelopen nacht uit de lucht om het lek te dichten, en alle klanten werden uitgelogd. Inmiddels werkt alles weer, al kunnen opnames voorlopig langer duren door extra controles.

Offline voorraad bleef buiten bereik

Bitonic verdeelt zijn Bitcoin, net als veel cryptobeurzen, over twee plekken. Een klein deel staat online in een zogeheten hot wallet, zodat opnames snel lopen. De rest staat offline, waar hackers er niet bij kunnen. Bij dat offline deel kwamen de aanvallers niet.

Daarmee ligt er een plafond op de schade, legt oprichter en directeur Niels van Groningen uit. “In het uiterste geval moeten we dan de hoeveelheid uit de hot wallet vergoeden. Zo houden we het risico beheersbaar.”

Eén vraag staat nog open. “We kunnen op dit moment niet uitsluiten dat de aanvaller ook persoonsgegevens van andere klanten heeft ingezien”, aldus Bitonic. Het bedrijf denkt van niet, maar onderzoekt het nog.

Wie het zekere voor het onzekere wil nemen, kan zijn wachtwoord veranderen. Laat de extra inlogcode dan ook uit een app op je telefoon komen in plaats van via sms of e-mail. Bitonic vraagt klanten bovendien nooit om hun wachtwoord of om Bitcoin naar een ander adres te sturen.

Klanten doen er volgens het bedrijf bovendien goed aan hun tweestapsverificatie (2FA), een extra code naast het wachtwoord, om te zetten van sms of e-mail naar een authenticator-app. Wie zijn wachtwoord ook ergens anders gebruikt, kan het beter wijzigen.

Grootste schade is het vertrouwen

Bitonic is het oudste Bitcoinbedrijf van Nederland. Van Groningen begon het in maart 2012 met Jouke Hofman en Robert de Waard onder de naam iDealCoin. Een paar maanden later werd dat Bitonic, een anagram van Bitcoin.

Het bedrijf was het eerste in Nederland dat Bitcoin automatisch via iDEAL verkocht, in een tijd dat het nog erg ingewikkeld kon zijn om de munt aan te schaffen. Andere munten kwamen er nooit in, want Bitonic wil niets weten van wat het “ingewikkelde hypecoins” noemt.

Sindsdien zag de broker meerdere zware crashes en beurzen als Mt. Gox en FTX ten onder gaan. In 2021 stapte Bitonic zelfs naar de rechter tegen De Nederlandsche Bank (DNB), die daarna haar omstreden eis tot walletverificatie liet vallen.

Sinds november 2025 heeft Bitonic een vergunning onder MiCA, de Europese cryptowet, van de Autoriteit Financiële Markten (AFM). Het bedrijf licht nu ook de betrokken toezichthouders in over de hack.

Hoewel het incident nu tevens onderstreept dat bedrijf de zaakjes goed op orde heeft, zal het vertrouwen de grootste schade zijn.