Bitonic vergoedt drie klanten volledig na ongeoorloofde bitcoin-opnames
Drie klanten van het Nederlandse Bitonic zijn volledig vergoed nadat aanvallers zonder toestemming bitcoin uit hun accounts opnamen. Bij twee accounts werden ook de inloggegevens gewijzigd.
De aanval begon zondagavond 25 oktober via een kwetsbaarheid in een deel van Bitonics systemen. De cold wallets bleven volgens het bedrijf buiten schot. Of persoonsgegevens van andere klanten zijn ingezien, wordt nog onderzocht.
Drie accounts verloren bitcoin
Bitonic maakte het incident op 26 oktober bekend in een eigen incidentmelding.
Onbevoegden kregen toegang tot een deel van de systemen en namen bij drie klanten kleine hoeveelheden Bitcoin op.
Exacte bedragen noemt Bitonic niet.
De drie getroffen klanten zijn persoonlijk geïnformeerd en volledig gecompenseerd.
Daarmee is de directe financiële schade voor deze klanten volgens de onderneming hersteld. De technische oorzaak en volledige omvang worden nog onderzocht.
Twee accounts kregen andere inloggegevens
Bij twee accounts gingen de aanvallers verder dan een bitcoinopname.
Ook de inloggegevens werden gewijzigd.
Bitonic zegt dat de aanvaller gegevens in het getroffen systeem kon aanpassen. Daaronder vielen de inloggegevens van meerdere accounts.
Dat maakt dit meer dan een reeks verdachte opnames.
De aanvaller had volgens de verklaring toegang tot een systeem dat een rol speelt bij accounttoegang.
Cold wallets waren niet betrokken
Bitonic trekt daarbij een duidelijke grens.
De toegang bleef volgens het bedrijf beperkt tot het systeem met inloggegevens.
Andere systemen en de cold wallets waren nadrukkelijk niet bij het incident betrokken.
Op zijn beveiligingspagina schrijft Bitonic dat bitcoin in cold storage via multi-signature wordt bewaard. Voor een transactie zijn daarbij meerdere handtekeningen nodig.
Dat is een andere beveiligingslaag dan de toegang tot een individueel klantaccount.
Hot wallet werd uit voorzorg offline gehaald
Na ontdekking van het incident haalde Bitonic zowel de getroffen systemen als zijn hot wallet offline.
Dat betekent niet automatisch dat de hot wallet zelf was gekraakt.
Bitonic beschrijft de maatregel als voorzorg.
Een hot wallet staat online om bijvoorbeeld opnames te kunnen verwerken. Daardoor vervult die een andere rol dan een offline wallet waarin reserves langduriger worden bewaard.
Bij een accountaanval kunnen kwaadwillenden proberen via normale opnamefuncties geld te laten versturen zonder dat zij rechtstreeks de privésleutel van zo'n wallet bemachtigen.
Accountlaag en bewaarlaag zijn verschillende risico's
Dat onderscheid is belangrijk voor gebruikers.
Een platform kan zijn bitcoinreserves technisch sterk afschermen en toch schade oplopen wanneer een aanvaller accounts kan overnemen.
De cold wallet beschermt dan tegen een directe aanval op de reserves.
Hij voorkomt niet vanzelf dat een systeem een ongeoorloofde opname als geldige klantopdracht verwerkt.
Daarom moeten zowel de bewaarlaag als authenticatie, opnameregels en controles rond accounts stevig zijn ingericht.
Het incident bij Bitonic raakt volgens de huidige verklaring vooral die tweede laag.
Onderzoek naar persoonsgegevens is nog niet klaar
Er blijft ook een privacyvraag open.
Bitonic kan op dit moment niet uitsluiten dat de aanvaller persoonsgegevens van andere klanten heeft ingezien.
Het bedrijf zegt op basis van de huidige informatie geen aanwijzingen te hebben dat dit daadwerkelijk is gebeurd.
Dat is nog geen definitieve conclusie.
Het technische onderzoek loopt door. Bitonic zegt bovendien de betrokken toezichthouders te informeren.
Pas na verder onderzoek kan duidelijker worden welke gegevens bereikbaar waren en of daar daadwerkelijk toegang toe is geweest.
Kwetsbaarheid is volgens Bitonic verholpen
De onderneming zegt de gebruikte kwetsbaarheid direct te hebben verholpen.
De getroffen systemen zijn volgens de incidentmelding hersteld en de dienstverlening is weer volledig beschikbaar.
Bitonic zegt daarnaast aanvullende maatregelen te nemen om herhaling te voorkomen.
Technische details over de kwetsbaarheid zijn niet openbaar gemaakt.
Daardoor is voor buitenstaanders nog niet vast te stellen welk onderdeel precies faalde, hoe de aanvallers binnenkwamen of welke aanvullende beveiliging daarna is toegevoegd.
Bitonic adviseert authenticator-app
Voor klanten volgt een opvallend concreet advies.
Wie tweestapsverificatie via e-mail of sms gebruikt, krijgt het advies over te stappen naar TOTP via een authenticator-app.
Bitonic biedt standaard 2FA via e-mail, maar schrijft in zijn eigen beveiligingsuitleg dat een authenticator-app een hoger beschermingsniveau biedt.
Daarbij wordt een tijdelijke code lokaal door een app gegenereerd.
Een aanvaller die alleen toegang tot een e-mailaccount krijgt, beschikt dan niet automatisch over dezelfde tweede factor.
Opnames kunnen vooraf worden geblokkeerd
Gebruikers kunnen ook een tijdelijke blokkade op bitcoinopnames instellen.
Bitonics gebruikersvoorwaarden beschrijven daarbij een cooldownperiode.
Wie de blokkade wil verwijderen, moet wachten tot die zelf ingestelde periode voorbij is voordat opnames opnieuw mogelijk worden.
Zo'n vertraging kan extra tijd geven wanneer een account wordt overgenomen.
De aanvaller kan dan niet noodzakelijk direct na het wijzigen van accountgegevens bitcoin wegsturen.
Het voorkomt niet ieder aanvalsscenario, maar voegt een afzonderlijke rem toe.
Anti-phishingzin beschermt een andere route
Bitonic adviseert ook een persoonlijke anti-phishingzin.
Die verschijnt in officiële e-mails van het bedrijf.
Ontbreekt de gekozen zin in een bericht dat beweert van Bitonic afkomstig te zijn, dan kan dat een aanwijzing voor phishing zijn.
Ook deze maatregel lost de nu gemelde kwetsbaarheid niet automatisch op.
Hij richt zich op een andere aanvalsvorm: criminelen die klanten via vervalste berichten proberen hun wachtwoord, 2FA-code of bitcoin afhandig te maken.
Meerdere beveiligingslagen lossen verschillende problemen op.
Wachtwoord wijzigen is niet voor iedereen automatisch nodig
Bitonic adviseert vooral actie wanneer iemand een zwak wachtwoord gebruikte of hetzelfde wachtwoord ook elders heeft ingesteld.
Zo'n hergebruikt wachtwoord vergroot het risico dat één gelekte combinatie ook toegang tot andere diensten geeft.
Het bedrijf waarschuwt daarnaast dat het klanten nooit vraagt hun wachtwoord of inlogcodes te delen.
Ook zal Bitonic naar eigen zeggen nooit vragen bitcoin wegens een beveiligingsincident naar een ander adres over te maken.
Dat laatste is relevant nu het incident zelf aanleiding kan vormen voor phishingberichten die op de onrust proberen mee te liften.
Drie vergoedingen sluiten het onderzoek niet af
De drie direct getroffen klanten hebben hun bitcoin volgens Bitonic terug.
Daarmee is het incident nog niet volledig afgesloten.
Het bedrijf moet nog vaststellen hoe breed de toegang tot persoonsgegevens was, welke accounts konden worden gewijzigd en welke technische zwakte de aanval mogelijk maakte.
Voorlopig staat één onderscheid wel vast in Bitonics eigen verklaring.
De aanvallers konden ongeoorloofde opnames via klantaccounts veroorzaken.
Ze kregen volgens het bedrijf geen toegang tot de cold wallets.
Dat verschil bepaalt of dit wordt beschreven als een inbraak in Bitonics bitcoinreserves of als een aanval op de account- en opnamelaag.
Op basis van de informatie die nu openbaar is, past alleen die tweede omschrijving.
Stop met te veel betalen voor je crypto. Bij de Amsterdamse exchange Finst handel je tegen de laagste tarieven van Nederland, zonder verborgen kosten.
👀 Bekijk Finst nu ›Let op: Beleggen in crypto brengt risico’s met zich mee. Handel alleen met geld dat u kunt missen.
Ga verder met lezen
Dit vind je misschien ook leuk
Laat mensen jouw mening weten
Lees ook
Populair Nieuws
Loading
