Bij het woord hack denk je bij een cryptobeurs meteen aan lege wallets en verdwenen munten. Bij Bithumb, een van de grootste beurzen van Zuid-Korea, gaat het deze keer om iets anders. Aanvallers wisten via een intern systeem binnen te komen en gingen ervandoor met persoonsgegevens van klanten. De munten zelf staan volgens de beurs nog gewoon waar ze horen.
Wat is er precies gebeurd?
De inbraak liep niet via de handelsomgeving of de wallets, maar via een systeem dat de beurs intern gebruikt. Daar lag klantinformatie opgeslagen, en die is in handen van de aanvallers gekomen. Hoeveel klanten het raakt en welke gegevens het precies zijn, is nog niet helemaal duidelijk.
Bithumb staat daarbij niet alleen. Volgens het Zuid-Koreaanse persbureau Yonhap meldden vandaag drie financiële bedrijven in het land een datalek, en Bithumb is er een van.
Munten veilig, dus niets aan de hand?
Dat de crypto van klanten niet is aangeraakt, is natuurlijk een opluchting. Toch is een datalek geen klein bier. Je kunt het vergelijken met een inbreker die je kluis laat staan, maar wel je adresboek en je paspoortkopie meeneemt. Je geld is er nog, maar de dief weet nu wie je bent en waar je woont.
Dat maakt klanten een aantrekkelijk doelwit voor oplichters. Met gestolen gegevens kunnen criminelen heel overtuigende phishingberichten sturen: mails of sms’jes die van de beurs lijken te komen en je vragen in te loggen of je account te verifiëren. Hoe meer ze over je weten, hoe echter zo’n bericht oogt. Bij cryptobeurzen komt daar nog een extra risico bij. Wie bekendstaat als bezitter van crypto, kan ook doelwit worden van afpersing of zelfs fysieke dreiging.
Waarom beurzen zoveel gevoelige data hebben
Een gereguleerde beurs moet weten wie haar klanten zijn. Dat heet KYC, kort voor know your customer: je levert bij aanmelding je identiteitsbewijs, adres en soms een selfie in. Die regels zijn er om witwassen tegen te gaan, maar ze zorgen er ook voor dat beurzen enorme hoeveelheden gevoelige informatie bewaren.
Ook in Europa werkt het zo. Onder de MiCA-regels moeten beurzen hun klanten identificeren, dus ook als Nederlandse gebruiker ligt jouw paspoortgegeven bij elke gereguleerde partij waar je een account hebt. Een lek bij een beurs raakt daarom niet alleen je beleggingen, maar vooral je privacy.
Niet de eerste klap voor Bithumb
Voor Bithumb komt dit op een vervelend moment. Eerder dit jaar haalde de beurs al wereldwijd het nieuws toen tijdens een promotieactie per ongeluk een gigantische hoeveelheid bitcoin aan klantaccounts werd bijgeschreven. Het grootste deel daarvan kwam terug, maar het voorval zette vraagtekens bij de interne controles.
Ook de Zuid-Koreaanse cryptosector als geheel ligt onder een vergrootglas. Branchegenoot Upbit werd vorig jaar nog getroffen door een hack waarbij wel munten verdwenen. Toezichthouders in Seoel letten daardoor scherper dan ooit op de beveiliging van beurzen.
Waar het nu op aankomt
De belangrijkste open vraag is hoe groot het lek echt is. Gaat het om namen en e-mailadressen, of ook om kopieën van identiteitsbewijzen en telefoonnummers? Dat bepaalt hoe groot het risico voor klanten is. Daarnaast zal moeten blijken of de Zuid-Koreaanse toezichthouder een onderzoek start en of Bithumb maatregelen of een boete boven het hoofd hangt. Juist omdat er drie financiële bedrijven tegelijk een lek meldden, ligt het voor de hand dat de autoriteiten ook kijken of er een gezamenlijke oorzaak achter zit.
