Historial de seguridad de Bitvavo

La AFM autorizó a Bitvavo bajo MiCA para todo el EEE

La Autoriteit Financiele Markten autorizó a Bitvavo como proveedor de servicios de criptoactivos bajo MiCA. La lista blanca de la AMF francesa registra que el pasaporte a Francia surte efecto el 14 de julio de 2025 y nombra los tres servicios cubiertos: custodia y administración de criptoactivos, explotación de una plataforma de negociación y servicios de transferencia. La licencia alcanza a todos los Estados miembros de la UE más Noruega, Islandia y Liechtenstein, además de los registros nacionales que Bitvavo ya tenía en Francia, Austria, Italia, España y los Países Bajos. También sitúa a Bitvavo bajo la supervisión de conducta de la AFM, algo que el registro ante DNB de 2020 explícitamente no hacía. Bitvavo informó de casi dos millones de usuarios y se describió como el mayor actor del mundo en el mercado spot en EUR.

Bitvavo obtains MiCA licence from the AFM

La prueba de reservas cubre 13 activos y se certifica una vez al año

Bitvavo publica una prueba de reservas basada en un árbol de Merkle, certificada por la firma contable independiente The Network Firm LLP, y un cliente que haya iniciado sesión puede generar un informe que compara su propio saldo con la certificación más reciente. Bitvavo fecha el alcance del programa al 31 de diciembre de 2024, y abarca BTC, ETH, XRP, EUR, ADA, SOL, DOGE, VET, LINK, HBAR, SUI, FET y SHIB. La página indica que las certificaciones se realizan una vez al año, así que se trata de una instantánea anual y no de una cobertura continua, y ningún activo fuera de esos trece está cubierto en absoluto. Las cifras publicadas al 31 de marzo de 2026 muestran todos los activos del alcance con un ratio de reservas del 100 % o más, con dogecoin al 104 % y el euro al 113 %.

Bitvavo proof of reserves

Una filtración de datos expuso nombres, direcciones particulares e IBAN

Bitvavo envió un correo electrónico a los clientes afectados sobre una filtración que expuso el nombre completo, la dirección de correo electrónico, la dirección particular, el IBAN, el volumen de trading reciente y los tres últimos dígitos del número de teléfono. Describió a los afectados solo como un grupo limitado de usuarios y nunca publicó una cifra. Bitvavo dijo que los fondos de los usuarios estaban seguros y que no tenía indicios de que se hubieran expuesto contraseñas, dijo que había notificado la filtración a las autoridades pertinentes y pidió a los usuarios que vigilaran sus cuentas por si había actividad inusual, cambiaran sus contraseñas y activaran la autenticación de dos factores.

Opgelicht, AVROTROS: Bitvavo informs users about data breach

Una caída de cinco horas dejó a todos los usuarios fuera de la plataforma

Desde alrededor de las 13:30 los clientes no pudieron iniciar sesión, y Bitvavo puso sus sistemas en modo de mantenimiento. Los sistemas se restablecieron a partir de las 18:00 y la plataforma volvió a funcionar a las 18:30, así que durante unas cinco horas en horario de mercado no se pudo operar, depositar ni retirar nada. El 23 de noviembre Bitvavo publicó la causa raíz confirmada por su proveedor externo de infraestructura en la nube: un fallo de infraestructura agravado por un sistema de monitoreo que entró en un bucle infinito mientras intentaba, sin éxito, activar un respaldo, y que los ingenieros del proveedor tuvieron que detener a mano. Los activos de los clientes no se vieron afectados. Bitvavo dijo que estaba acelerando el paso a una arquitectura de microservicios para contener la próxima caída.

Bitvavo: Update 3, November 14th incident

El acuerdo con DCG fijó la recuperación esperada entre el 80 y el 100 %

Tras una segunda audiencia en la noche del 6 de febrero de 2023, Bitvavo y otros acreedores alcanzaron un principio de acuerdo con Digital Currency Group, recogido en una hoja de términos presentada el 10 de febrero. Bitvavo situó el porcentaje de recuperación esperado entre el 80 y el 100 %, pagadero en efectivo, activos digitales y pagarés de capital preferente convertibles de DCG. Una oferta que cubría aproximadamente el primer 70 % estaba sobre la mesa desde comienzos de ese año, y Bitvavo la había rechazado por quedarse corta respecto de lo que DCG podía pagar. Bitvavo formaba parte del comité de acreedores no garantizados y repitió que garantizaba el monto pendiente con sus propios recursos financieros, así que el porcentaje de recuperación afectaba al balance de Bitvavo y no al saldo de ningún cliente. Lea el rango como la expectativa que Bitvavo publicó en ese momento, no como una cifra final cerrada.

Bitvavo DCG update statement, 7 February 2023

280 millones de euros en activos de clientes, congelados en Genesis

Bitvavo divulgó que 280 millones de euros estaban bloqueados en Genesis Global Capital, el prestamista de Digital Currency Group que usaba para pagar rendimientos sobre los saldos de los clientes, después de que Genesis suspendiera los reembolsos tras el colapso de FTX. Bitvavo cifró el total de depósitos y activos digitales de sus clientes en alrededor de 1,6 mil millones de euros, así que aproximadamente una sexta parte del total estaba en manos de una sola contraparte. Genesis se acogió al Chapter 11 el 20 de enero de 2023. Bitvavo mantuvo en funcionamiento la plataforma y los retiros, dijo que tenía los fondos para prefinanciar los activos bloqueados y cargó con la reclamación por su cuenta en lugar de trasladar la pérdida a los clientes.

The Block: Bitvavo unable to access 280 million euros held at Genesis Global Capital

Un error de configuración de la caché expuso los datos personales de ocho usuarios

Una capa de caché mal configurada mostró durante 15 minutos los datos personales de ocho usuarios a otras personas que habían iniciado sesión en la app y en el sitio web. Bitvavo vació y reconfiguró la caché dentro de esos 15 minutos, y después bloqueó la app porque las copias en caché tardan unas dos horas en borrarse de los dispositivos de los usuarios. Se contactó a los ocho usuarios afectados y se notificó a la Autoriteit Persoonsgegevens. Los fondos nunca estuvieron en riesgo, y Bitvavo afirmó que la causa fue un error de configuración propio y no un hackeo. La misma publicación presentó la Bitvavo Account Guarantee, que puede reembolsar hasta 100.000 euros si alguien obtiene acceso no autorizado a una cuenta y se apropia indebidamente de fondos.

Bitvavo incident report, 7 September 2022

Registrado ante De Nederlandsche Bank como proveedor de servicios cripto

Bitvavo obtuvo el registro ante DNB que la transposición neerlandesa de la versión modificada de la cuarta directiva contra el blanqueo de capitales, en vigor desde el 21 de mayo de 2020, hizo obligatorio para los proveedores de servicios de exchange y de custodia. Su propio comunicado de prensa fue tajante sobre los límites: DNB supervisaba solo el cumplimiento de la ley de prevención del lavado de activos y de la financiación del terrorismo y de la ley de sanciones de 1977, no había supervisión prudencial por parte de DNB ni supervisión de conducta por parte de la AFM, de modo que los requisitos financieros y los riesgos del negocio quedaban sin vigilancia y no existía una protección específica para el consumidor. Bitvavo dijo que los clientes neerlandeses habían operado por más de 3 mil millones de euros en la plataforma ese año. Desde entonces, el registro ha sido sustituido por la licencia MiCA de 2025.