Bitvavoのセキュリティ実績

AFMがMiCAに基づきEEA全域についてBitvavoを認可

Autoriteit Financiele MarktenはMiCAに基づきBitvavoを暗号資産サービスプロバイダーとして認可しました。フランスのAMFのホワイトリストには、フランスへのパスポートが2025年7月14日に発効したと記録され、対象となる3つのサービス、すなわち暗号資産のカストディおよび管理、取引プラットフォームの運営、移転サービスが挙げられています。このライセンスはEU全加盟国に加えてノルウェー、アイスランド、リヒテンシュタインに及び、さらにBitvavoがすでにフランス、オーストリア、イタリア、スペイン、オランダで保有していた国内登録に上乗せされます。また、これはBitvavoをAFMの行為規制監督の下に置くものであり、2020年のDNBへの登録では明示的にそうなっていませんでした。Bitvavoはユーザー数が二百万人近くに達したと報告し、EUR現物市場で世界最大の事業者であると自らを位置づけました。

Bitvavo obtains MiCA licence from the AFM

13種類の資産を対象とし、年に1回の証明が行われる準備金証明

Bitvavoは、独立系会計事務所The Network Firm LLPが証明したマークルツリー方式の準備金証明を公開しており、ログインした顧客は最新の証明と自身の残高を照合するレポートを生成できます。Bitvavoはこのプログラムの対象範囲を2024年12月31日と記載し、BTC、ETH、XRP、EUR、ADA、SOL、DOGE、VET、LINK、HBAR、SUI、FET、SHIBを対象としています。ページには証明が年に1回行われると記載されているため、これは継続的な検証ではなく年1回のスナップショットであり、これら13種類以外の資産はまったく対象外です。2026年3月31日時点で公表された数値では、対象となるすべての資産が100%以上の準備率となっており、dogecoinは104%、ユーロは113%でした。

Bitvavo proof of reserves

データ侵害により氏名、自宅住所、IBANが流出

Bitvavoは影響を受けた顧客に、氏名、メールアドレス、自宅住所、IBAN、直近の取引量、電話番号の下3桁が流出した侵害についてメールで通知しました。同社は被害者を限定されたユーザーグループとのみ表現し、件数は一切公表しませんでした。Bitvavoはユーザーの資金は安全であり、パスワードが流出した兆候はないと述べ、侵害を関係当局に報告したと述べたうえで、ユーザーに対し不審な動きがないか口座を監視し、パスワードを変更し、二要素認証を有効にするよう呼びかけました。

Opgelicht, AVROTROS: Bitvavo informs users about data breach

5時間の障害で全ユーザーがプラットフォームから締め出された事態

13:30頃から顧客はログインできなくなり、Bitvavoはシステムをメンテナンスモードにしました。システムは18:00から復旧し、18:30にプラットフォームは再び稼働しました。そのため市場が開いている時間帯に約5時間、取引も入金も出金もできない状態が続きました。11月23日、Bitvavoは第三者であるクラウドインフラプロバイダーが確認した根本原因を公表しました。インフラ障害に、バックアップの有効化を試みて失敗する間に無限ループに陥った監視システムが拍車をかけ、プロバイダーのエンジニアが手作業でこれを停止しなければならなかったというものです。顧客の資産は関係していませんでした。Bitvavoは、次の障害を抑え込むためマイクロサービスアーキテクチャへの移行を加速していると述べました。

Bitvavo: Update 3, November 14th incident

DCGとの合意により予想回収率は80%～100%に

2023年2月6日の夜に2回目の審問が行われた後、Bitvavoと他の債権者はDigital Currency Groupとの間で基本合意に達し、その内容は2月10日に提出されたタームシートに記載されました。Bitvavoは予想回収率を80～100%とし、現金、デジタル資産、およびDCGの転換優先出資証券で支払われるとしました。おおよそ最初の70%を対象とする提案はその年の初めから提示されており、BitvavoはDCGが支払える額に満たないとしてこれを拒否していました。Bitvavoは無担保債権者委員会の委員を務め、未払い額は自社の財務リソースで保証すると繰り返したため、回収率はBitvavoのバランスシートに影響するものであり、いずれの顧客の残高にも影響するものではありませんでした。この範囲は、Bitvavoが当時公表した見通しとして読むべきものであり、確定した最終的な数値として読むべきものではありません。

Bitvavo DCG update statement, 7 February 2023

顧客資産2.8億ユーロがGenesisで凍結

Bitvavoは、FTX破綻の影響でGenesisが返済を停止した後、顧客残高の利回り支払いに使っていたDigital Currency Groupの融資部門Genesis Global Capitalに2.8億ユーロが拘束されていると公表しました。Bitvavoは顧客の預金とデジタル資産の総額を約16億ユーロとしており、資産全体のおよそ六分の一が単一の取引相手に置かれていたことになります。Genesisは2023年1月20日にChapter 11の申請を行いました。Bitvavoはプラットフォームと出金を稼働させ続け、拘束された資産を事前に拠出する資金があると述べ、損失を顧客に転嫁せず自社で債権を引き受けました。

The Block: Bitvavo unable to access 280 million euros held at Genesis Global Capital

キャッシュの設定不備により8人のユーザーの個人データが露出

設定に不備のあったキャッシュ層により、8人のユーザーの個人データが、アプリとウェブサイトにログインしていた他の利用者に15分間にわたって表示されました。Bitvavoはその15分間のうちにキャッシュを消去して再設定し、その後、キャッシュされたコピーがユーザーの端末から消えるまで約2時間かかるため、アプリをロックしました。影響を受けた8人のユーザー全員に連絡し、Autoriteit Persoonsgegevensに通知しました。資金が危険にさらされることはなく、Bitvavoは原因がハッキングではなく自社側の設定不備であると述べました。同じ投稿でBitvavo Account Guaranteeが導入され、誰かが口座へ不正にアクセスして資金を不正に取得した場合に最大100,000ユーロを補償する可能性があるとされています。

Bitvavo incident report, 7 September 2022

暗号資産サービスプロバイダーとしてDe Nederlandsche Bankに登録

Bitvavoは、改正第四次マネーロンダリング対策指令のオランダでの国内法化により、2020年5月21日から交換・カストディ事業者に義務付けられたDNB登録を取得しました。同社自身のプレスリリースはその限界について率直に述べていました。DNBが監督したのはマネーロンダリングおよびテロ資金供与防止法と1977年制裁法の遵守のみで、DNBによるプルーデンス監督もAFMによる行為監督もなく、財務要件や事業リスクは監視されず、消費者保護も特に存在しませんでした。Bitvavoは、その年にオランダの顧客がプラットフォーム上で30億ユーロ以上を取引したと述べていました。この登録はその後、2025年のMiCAライセンスに置き換えられています。