Historique de sécurité de Bitvavo

L'AFM a agréé Bitvavo au titre de MiCA pour tout l'EEE

L'Autoriteit Financiele Markten a agréé Bitvavo en tant que prestataire de services sur crypto-actifs au titre de MiCA. La liste blanche de l'AMF française indique que le passeport européen vers la France prend effet le 14 juillet 2025 et nomme les trois services couverts : la conservation et l'administration de crypto-actifs, l'exploitation d'une plateforme de trading et les services de transfert. L'agrément couvre chaque État membre de l'UE plus la Norvège, l'Islande et le Liechtenstein, en plus des enregistrements nationaux que Bitvavo détenait déjà en France, en Autriche, en Italie, en Espagne et aux Pays-Bas. Il place aussi Bitvavo sous la supervision comportementale de l'AFM, ce que l'enregistrement de 2020 auprès de la DNB ne faisait explicitement pas. Bitvavo a déclaré près de deux millions d'utilisateurs et s'est décrit comme le plus grand acteur mondial du marché au comptant en EUR.

Bitvavo obtains MiCA licence from the AFM

La preuve de réserves couvre 13 actifs et est attestée une fois par an

Bitvavo publie une preuve de réserves par arbre de Merkle attestée par le cabinet d'expertise comptable indépendant The Network Firm LLP, et un client connecté peut générer un rapport vérifiant son propre solde par rapport à la dernière attestation. Bitvavo date le périmètre du programme au 31 décembre 2024, couvrant BTC, ETH, XRP, EUR, ADA, SOL, DOGE, VET, LINK, HBAR, SUI, FET et SHIB. La page indique que les attestations sont réalisées annuellement, ce qui en fait un instantané annuel et non une couverture continue, et tout actif en dehors de ces treize n'est pas couvert du tout. Les chiffres publiés au 31 mars 2026 montrent chaque actif du périmètre à un ratio de réserves de 100 pour cent ou mieux, le dogecoin à 104 pour cent et l'euro à 113 pour cent.

Bitvavo proof of reserves

Une violation de données a exposé des noms, des adresses personnelles et des IBAN

Bitvavo a informé par courriel les clients concernés d'une violation ayant exposé le nom complet, l'adresse électronique, l'adresse personnelle, l'IBAN, le volume de trading récent et les trois derniers chiffres du numéro de téléphone. Elle n'a désigné les personnes touchées que comme un groupe limité d'utilisateurs et n'a jamais publié de nombre. Bitvavo a indiqué que les fonds des utilisateurs étaient en sécurité et qu'elle n'avait aucun indice d'une exposition des mots de passe, a déclaré avoir signalé la violation aux autorités compétentes, et a invité les utilisateurs à surveiller toute activité inhabituelle sur leur compte, à changer leur mot de passe et à activer l'authentification à deux facteurs.

Opgelicht, AVROTROS: Bitvavo informs users about data breach

Une panne de cinq heures a empêché tous les utilisateurs d'accéder à la plateforme

À partir d'environ 13 h 30, les clients ne pouvaient plus se connecter et Bitvavo a mis ses systèmes en mode maintenance. Les systèmes sont revenus à partir de 18 h 00 et la plateforme fonctionnait de nouveau à 18 h 30, de sorte que rien n'a pu être échangé, déposé ou retiré pendant environ cinq heures en pleine séance de marché. Le 23 novembre, Bitvavo a publié la cause racine confirmée par son prestataire tiers d'infrastructure cloud : une défaillance d'infrastructure aggravée par un système de surveillance entré dans une boucle sans fin en tentant, sans succès, d'activer un système de secours, que les ingénieurs du prestataire ont dû arrêter à la main. Les actifs des clients n'étaient pas concernés. Bitvavo a déclaré accélérer le passage à une architecture de microservices pour contenir la prochaine.

Bitvavo: Update 3, November 14th incident

Accord avec DCG : taux de récupération attendu fixé entre 80 et 100 pour cent

Après une seconde audience dans la nuit du 6 février 2023, Bitvavo et d'autres créanciers ont conclu un accord de principe avec Digital Currency Group, exposé dans un term sheet déposé le 10 février. Bitvavo a estimé le taux de récupération attendu entre 80 et 100 pour cent, payable en espèces, en actifs numériques et en obligations convertibles privilégiées de DCG. Une offre portant sur environ les premiers 70 pour cent était sur la table depuis le début de cette année-là et Bitvavo l'avait rejetée comme inférieure à ce que DCG pouvait payer. Bitvavo siégeait au comité des créanciers chirographaires et a répété qu'elle garantissait le montant impayé sur ses propres ressources financières, de sorte que le taux de récupération touchait le bilan de Bitvavo et non le solde d'un client. Lisez cette fourchette comme l'estimation publiée par Bitvavo à l'époque, et non comme un chiffre final arrêté.

Bitvavo DCG update statement, 7 February 2023

280 millions d'euros d'actifs clients gelés chez Genesis

Bitvavo a révélé que 280 millions d'euros étaient bloqués chez Genesis Global Capital, le prêteur du Digital Currency Group qu'elle utilisait pour verser un rendement sur les soldes clients, après que Genesis a suspendu ses remboursements dans la foulée de l'effondrement de FTX. Bitvavo évaluait ses dépôts clients et actifs numériques totaux à environ 1,6 milliard d'euros, donc environ un sixième du portefeuille se trouvait chez une seule contrepartie. Genesis a déposé une demande de protection au titre du chapitre 11 le 20 janvier 2023. Bitvavo a maintenu la plateforme et les retraits en fonctionnement, a déclaré disposer des fonds pour préfinancer les actifs bloqués et a porté elle-même la créance plutôt que de répercuter la perte sur les clients.

The Block: Bitvavo unable to access 280 million euros held at Genesis Global Capital

Une mauvaise configuration du cache a exposé les données personnelles de huit utilisateurs

Une couche de cache mal configurée a montré les données personnelles de huit utilisateurs à d'autres personnes connectées à l'application et au site pendant 15 minutes. Bitvavo a effacé et reconfiguré le cache dans ces 15 minutes, puis a verrouillé l'application car les copies en cache mettent environ deux heures à disparaître des appareils des utilisateurs. Les huit utilisateurs concernés ont tous été contactés et l'Autoriteit Persoonsgegevens a été notifiée. Les fonds n'ont jamais été en danger, et Bitvavo a déclaré que la cause était une mauvaise configuration de son propre côté et non un piratage. Le même article a introduit la garantie de compte Bitvavo, qui peut rembourser jusqu'à 100 000 euros si quelqu'un accède sans autorisation à un compte et détourne des fonds.

Bitvavo incident report, 7 September 2022

Enregistré auprès de De Nederlandsche Bank comme prestataire de services sur crypto-actifs

Bitvavo a obtenu l'enregistrement DNB que la mise en œuvre néerlandaise de la quatrième directive antiblanchiment modifiée, en vigueur à partir du 21 mai 2020, rendait obligatoire pour les prestataires d'échange et de conservation. Son propre communiqué de presse était net sur les limites : la DNB ne contrôlait que le respect de la loi de prévention du blanchiment d'argent et du financement du terrorisme et de la loi de 1977 sur les sanctions, il n'y avait ni supervision prudentielle par la DNB ni supervision de la conduite des affaires par l'AFM, de sorte que les exigences financières et les risques commerciaux n'étaient pas surveillés et qu'il n'existait aucune protection spécifique des consommateurs. Bitvavo a déclaré que les clients néerlandais avaient échangé plus de 3 milliards d'euros sur la plateforme cette année-là. Cet enregistrement a depuis été remplacé par la licence MiCA de 2025.