Sicherheitsbilanz von Bitvavo

AFM hat Bitvavo unter MiCA für den gesamten EWR zugelassen

Die Autoriteit Financiele Markten ließ Bitvavo als Anbieter von Kryptowerte-Dienstleistungen (CASP) nach MiCA zu. Die französische AMF-Whitelist verzeichnet das Passporting nach Frankreich mit Wirkung zum 14. Juli 2025 und nennt die drei abgedeckten Dienstleistungen: Verwahrung und Verwaltung von Kryptowerten, Betrieb einer Handelsplattform und Transferdienste. Die Zulassung reicht in jeden EU-Mitgliedstaat sowie nach Norwegen, Island und Liechtenstein, zusätzlich zu den nationalen Registrierungen, die Bitvavo bereits in Frankreich, Österreich, Italien, Spanien und den Niederlanden hatte. Sie stellt Bitvavo außerdem unter die Verhaltensaufsicht der AFM, was die DNB-Registrierung von 2020 ausdrücklich nicht tat. Bitvavo meldete fast zwei Millionen Nutzer und bezeichnete sich als weltweit größter Akteur im EUR-Spotmarkt.

Bitvavo obtains MiCA licence from the AFM

Der Reservenachweis deckt 13 Vermögenswerte ab und wird einmal jährlich bescheinigt

Bitvavo veröffentlicht einen Merkle-Tree-Proof-of-Reserves, bescheinigt von der unabhängigen Wirtschaftsprüfungsgesellschaft The Network Firm LLP, und ein angemeldeter Kunde kann einen Bericht erstellen, der sein eigenes Guthaben mit der jüngsten Bescheinigung abgleicht. Bitvavo datiert den Geltungsbereich des Programms auf den 31. Dezember 2024 und deckt BTC, ETH, XRP, EUR, ADA, SOL, DOGE, VET, LINK, HBAR, SUI, FET und SHIB ab. Auf der Seite heißt es, die Bescheinigungen würden jährlich durchgeführt, es handelt sich also um eine jährliche Momentaufnahme und nicht um eine fortlaufende Deckung, und jeder Vermögenswert außerhalb dieser dreizehn ist überhaupt nicht abgedeckt. Die zum 31. März 2026 veröffentlichten Zahlen zeigen jeden Vermögenswert im Geltungsbereich mit einer Reservequote von 100 Prozent oder besser, mit Dogecoin bei 104 Prozent und Euro bei 113 Prozent.

Bitvavo proof of reserves

Datenschutzverstoß gab Namen, Wohnadressen und IBANs preis

Bitvavo schrieb betroffene Kunden per E-Mail über einen Datenschutzverstoß an, der vollständigen Namen, E-Mail-Adresse, Wohnadresse, IBAN, jüngstes Handelsvolumen und die letzten drei Ziffern der Telefonnummer preisgab. Die Betroffenen wurden nur als begrenzte Nutzergruppe beschrieben, eine Zahl wurde nie veröffentlicht. Bitvavo erklärte, die Guthaben der Nutzer seien sicher und es gebe keine Hinweise darauf, dass Passwörter preisgegeben worden seien, erklärte, den Datenschutzverstoß den zuständigen Behörden gemeldet zu haben, und forderte die Nutzer auf, ihre Konten auf ungewöhnliche Aktivitäten zu prüfen, ihre Passwörter zu ändern und die Zwei-Faktor-Authentifizierung zu aktivieren.

Opgelicht, AVROTROS: Bitvavo informs users about data breach

Fünfstündiger Ausfall sperrte jeden Nutzer aus der Plattform aus

Ab etwa 13:30 Uhr konnten Kunden sich nicht anmelden, und Bitvavo versetzte seine Systeme in den Wartungsmodus. Die Systeme wurden ab 18:00 Uhr wieder hochgefahren und die Plattform lief um 18:30 Uhr wieder, sodass rund fünf Stunden lang während der Marktzeiten nichts gehandelt, eingezahlt oder ausgezahlt werden konnte. Am 23. November veröffentlichte Bitvavo die von seinem externen Cloud-Infrastrukturanbieter bestätigte Ursache: ein Infrastrukturausfall, verschlimmert durch ein Überwachungssystem, das in eine Endlosschleife geriet, während es versuchte, ein Backup zu aktivieren, und dabei scheiterte, was die Ingenieure des Anbieters von Hand stoppen mussten. Vermögenswerte von Kunden waren nicht betroffen. Bitvavo sagte, es beschleunige den Wechsel zu einer Microservices-Architektur, um den nächsten Ausfall einzudämmen.

Bitvavo: Update 3, November 14th incident

Vergleich mit DCG setzte die erwartete Rückzahlungsquote auf 80 bis 100 Prozent fest

Nach einer zweiten Anhörung in der Nacht des 6. Februar 2023 erzielten Bitvavo und andere Gläubiger eine grundsätzliche Einigung mit Digital Currency Group, festgehalten in einem Term Sheet, das am 10. Februar eingereicht wurde. Bitvavo gab die erwartete Rückzahlungsquote mit 80 bis 100 Prozent an, zahlbar in Bargeld, digitalen Vermögenswerten und wandelbaren Vorzugsaktienanleihen von DCG. Ein Angebot, das etwa die ersten 70 Prozent abdeckte, lag seit Beginn jenes Jahres auf dem Tisch, und Bitvavo hatte es abgelehnt, weil es hinter dem zurückblieb, was DCG zahlen konnte. Bitvavo saß im Ausschuss der unbesicherten Gläubiger und wiederholte, dass es den ausstehenden Betrag aus eigenen finanziellen Mitteln garantiere, sodass die Rückzahlungsquote die Bilanz von Bitvavo und nicht das Guthaben eines Kunden betraf. Lesen Sie die Spanne als die Erwartung, die Bitvavo damals veröffentlichte, nicht als endgültige, feststehende Zahl.

Bitvavo DCG update statement, 7 February 2023

280 Millionen Euro an Kundenvermögen bei Genesis eingefroren

Bitvavo gab bekannt, dass 280 Millionen Euro bei Genesis Global Capital feststeckten, dem zur Digital Currency Group gehörenden Kreditgeber, den Bitvavo nutzte, um Rendite auf Kundenguthaben zu zahlen, nachdem Genesis die Rückzahlungen im Zuge des FTX-Zusammenbruchs ausgesetzt hatte. Bitvavo bezifferte die gesamten Kundeneinlagen und digitalen Vermögenswerte auf etwa 1,6 Milliarden Euro, sodass rund ein Sechstel des Bestands bei einem einzigen Kontrahenten lag. Genesis meldete am 20. Januar 2023 Chapter 11 an. Bitvavo hielt die Plattform und die Auszahlungen am Laufen, erklärte, über die Mittel zu verfügen, um die blockierten Vermögenswerte vorzufinanzieren, und trug die Forderung selbst, statt den Verlust an die Kunden weiterzugeben.

The Block: Bitvavo unable to access 280 million euros held at Genesis Global Capital

Fehlkonfiguration des Caches gab persönliche Daten von acht Nutzern preis

Eine falsch konfigurierte Cache-Schicht zeigte die persönlichen Daten von acht Nutzern 15 Minuten lang anderen Personen, die in der App und auf der Website angemeldet waren. Bitvavo leerte und konfigurierte den Cache innerhalb dieser 15 Minuten neu und sperrte die App dann, weil zwischengespeicherte Kopien etwa zwei Stunden brauchen, bis sie von den Geräten der Nutzer verschwunden sind. Alle acht betroffenen Nutzer wurden kontaktiert und die Autoriteit Persoonsgegevens wurde benachrichtigt. Gelder waren nie gefährdet, und Bitvavo gab an, die Ursache sei eine Fehlkonfiguration auf der eigenen Seite gewesen und kein Hack. Derselbe Beitrag stellte die Bitvavo Account Guarantee vor, die bis zu 100.000 Euro erstatten kann, wenn jemand unbefugten Zugang zu einem Konto erlangt und Gelder veruntreut.

Bitvavo incident report, 7 September 2022

Bei De Nederlandsche Bank als Krypto-Dienstleister registriert

Bitvavo erhielt die DNB-Registrierung, die die niederländische Umsetzung der geänderten vierten Geldwäscherichtlinie, in Kraft seit dem 21. Mai 2020, für Börsen- und Verwahrungsdienstleister verpflichtend machte. Die eigene Pressemitteilung äußerte sich unverblümt zu den Grenzen: DNB beaufsichtigte nur die Einhaltung des Gesetzes zur Verhinderung von Geldwäsche und Terrorismusfinanzierung und des Sanktionsgesetzes von 1977, es gab keine prudenzielle Aufsicht durch die DNB und keine Verhaltensaufsicht durch die AFM, sodass finanzielle Anforderungen und Geschäftsrisiken unüberwacht blieben und es keinen spezifischen Verbraucherschutz gab. Bitvavo erklärte, niederländische Kunden hätten in jenem Jahr mehr als 3 Milliarden Euro auf der Plattform gehandelt. Die Registrierung wurde inzwischen durch die MiCA-Lizenz von 2025 abgelöst.