Bitvavo-phishing misbruikt MiCA-angst nu verificatiemails bij beleggers geloofwaardiger klinken

Een verificatiemail voelt na MiCA minder verdacht dan vorige maand. Precies daar mikken criminelen nu op met valse Bitvavo-mails, terwijl de Fraudehelpdesk nieuwe voorbeelden online zet.

De truc is simpel: Bitvavo, MiCA en accountcontrole worden in één zin geduwd. Daarna moet de gebruiker klikken.

De Fraudehelpdesk plaatste op 3 juli een valse Bitvavo-mail met het onderwerp “Actie vereist: Bevestig uw gegevens vóór 12 juni”. In de tekst staat dat gebruikers hun gegevens moeten bijwerken om beperkingen op hun account te voorkomen.

De mail verwijst naar Europese KYC- en AML-richtlijnen. KYC betekent dat een platform moet weten wie de klant is. AML draait om controles tegen witwassen.

Dat maakt de timing gevaarlijk. MiCA is het nieuwe Europese regelboek voor cryptodienstverleners. ESMA meldt dat bestaande aanbieders onder overgangsregels tot 1 juli 2026 konden blijven werken, of tot zij een vergunning kregen of geweigerd werden.

Na zo’n datum verwachten gebruikers sneller echte mails over gegevens, regels en beperkingen. Een oplichter hoeft dan minder uit te leggen.

Een dag eerder zette de Fraudehelpdesk nog een valse Bitvavo-mail online met het onderwerp “Bericht van administratie: Nieuw bericht”. De tekst is kort en slordig, maar de boodschap is duidelijk: er zou een nieuw bericht klaarstaan in de persoonlijke omgeving.

Dat is klassieke phishing. Criminelen doen zich voor als een vertrouwde partij en lokken gebruikers naar een valse website.

Daar kunnen ze inloggegevens, tweefactorauthenticatiecodes of andere informatie buitmaken. Tweefactorauthenticatie is de extra code naast je wachtwoord, vaak via een app of sms.

Deze waarschuwingen betekenen niet dat Bitvavo zelf is gehackt. Het gaat om mails die uit naam van Bitvavo worden verstuurd door criminelen.

Bitvavo waarschuwt in het eigen helpcentrum dat gebruikers eerst de afzender en anti-phishingcode moeten controleren. Het platform stelt dat automatische e-mails een anti-phishingcode bevatten en dat Bitvavo nooit naar inloggegevens vraagt.

De veiligste route naar je crypto-account begint niet in je inbox, maar in de app of via je eigen browser.

Dat klinkt droog, maar het is precies waar veel fraude begint. Een neplink hoeft maar één keer goed te lijken.

De actuele lijst van de Fraudehelpdesk laat zien dat dit breder speelt dan één exchange. Rond 2 en 3 juli stonden ook valse berichten uit naam van onder meer Bunq, de Belastingdienst, KVK, RVO, ABN AMRO en MetaMask op de overzichtspagina met valse e-mails.

De thema’s lijken op elkaar. Verificatie. Administratie. Account actief houden. Gegevens bijwerken.

Dat is geen toeval. Oplichters gebruiken dezelfde drukknoppen bij banken, overheidsdiensten, wallets en exchanges. De naam bovenaan verandert, de psychologische aanval blijft gelijk.

Voor Nederlandse en Belgische cryptogebruikers is de beste verdedigingslijn simpel. Open Bitvavo zelf via de officiële app of typ het adres handmatig in je browser.

Kijk daarna pas of er echt een melding in je account staat. Gebruik geen knop uit een onverwachte mail, zeker niet bij deadlines, blokkades of verplichte controles.

Let ook op taal. De mail over administratie bevat zinnen die niet kloppen. Toch mag dat geen hoofdtest zijn. Steeds meer phishingmails worden strak geschreven en lijken visueel sterk op echte berichten.

Wie op een link heeft geklikt of gegevens heeft ingevuld, moet niet afwachten. Log in via de officiële route, wijzig je wachtwoord en controleer actieve sessies.

Controleer ook opnameadressen en beveiligingsinstellingen. Zet tweefactorauthenticatie goed aan wanneer dat nog niet is gebeurd.

Bitvavo adviseert bij een vermoeden van toegang door een derde partij om melding te maken via [email protected] en daarna het wachtwoord te resetten. In het helpcentrum staat ook dat gebruikers tweefactorauthenticatie moeten inschakelen bij een mogelijk gecompromitteerd account.

Nieuwe regels zorgen voor echte controles. Ze zorgen ook voor verwarring.

Die verwarring is nu handelswaar voor oplichters. Een Bitvavo-mail over gegevenscontrole klinkt vlak na de MiCA-deadline minder vreemd dan normaal.

Daar zit het risico. Niet in één nepmail, maar in het moment waarop die binnenkomt. Crypto-gebruikers hoeven niet wantrouwig te worden tegenover elke controle. Ze moeten alleen stoppen met klikken vanuit hun inbox.