Histórico de segurança da Bitvavo

AFM autorizou a Bitvavo sob o MiCA para todo o EEE

A Autoriteit Financiele Markten autorizou a Bitvavo como prestadora de serviços de criptoativos sob o MiCA. A lista branca da AMF francesa registra que o passaporte europeu para a França entra em vigor em 14 de julho de 2025 e nomeia os três serviços cobertos: custódia e administração de criptoativos, operação de uma plataforma de negociação e serviços de transferência. A licença alcança todos os Estados-membros da UE mais Noruega, Islândia e Liechtenstein, além dos registros nacionais que a Bitvavo já possuía na França, na Áustria, na Itália, na Espanha e nos Países Baixos. Ela também coloca a Bitvavo sob a supervisão de conduta da AFM, o que o registro de 2020 no DNB explicitamente não fazia. A Bitvavo informou ter quase dois milhões de usuários e se descreveu como o maior player global no mercado à vista em EUR.

Bitvavo obtains MiCA licence from the AFM

Prova de reservas cobre 13 ativos e é atestada uma vez por ano

A Bitvavo publica uma prova de reservas baseada em árvore de Merkle, atestada pela firma de contabilidade independente The Network Firm LLP, e um cliente que tenha feito login pode gerar um relatório que confere seu próprio saldo com a atestação mais recente. A Bitvavo informa que o escopo do programa é datado de 31 de dezembro de 2024, abrangendo BTC, ETH, XRP, EUR, ADA, SOL, DOGE, VET, LINK, HBAR, SUI, FET e SHIB. A página afirma que as atestações são realizadas anualmente, de modo que se trata de um retrato anual e não de uma cobertura contínua, e qualquer ativo fora desses treze não é coberto de forma alguma. Os números publicados em 31 de março de 2026 mostram todos os ativos do escopo com um índice de reservas de 100% ou melhor, com dogecoin em 104% e euro em 113%.

Bitvavo proof of reserves

Vazamento de dados expôs nomes, endereços residenciais e IBANs

A Bitvavo enviou e-mail aos clientes afetados sobre um vazamento que expôs nome completo, endereço de e-mail, endereço residencial, IBAN, volume de negociação recente e os três últimos dígitos do número de celular. Descreveu os atingidos apenas como um grupo limitado de usuários e nunca publicou um número. A Bitvavo disse que os fundos dos usuários estavam seguros e que não tinha indício de que senhas haviam sido expostas, disse que havia comunicado o vazamento às autoridades competentes e orientou os usuários a acompanhar suas contas em busca de atividade incomum, trocar suas senhas e ativar a autenticação de dois fatores.

Opgelicht, AVROTROS: Bitvavo informs users about data breach

Interrupção de cinco horas deixou todos os usuários fora da plataforma

Por volta das 13h30 os clientes não conseguiam entrar, e a Bitvavo colocou seus sistemas em modo de manutenção. Os sistemas voltaram a partir das 18h00 e a plataforma voltou a funcionar às 18h30, de modo que nada pôde ser negociado, depositado ou sacado por aproximadamente cinco horas durante o horário de mercado. Em 23 de novembro a Bitvavo publicou a causa raiz confirmada por seu provedor terceirizado de infraestrutura em nuvem: uma falha de infraestrutura agravada por um sistema de monitoramento que entrou em um ciclo sem fim ao tentar, sem sucesso, ativar um backup, e que os engenheiros do provedor tiveram que interromper manualmente. Os ativos dos clientes não foram afetados. A Bitvavo disse que estava acelerando a migração para uma arquitetura de microsserviços para conter a próxima.

Bitvavo: Update 3, November 14th incident

Acordo com a DCG fixou a recuperação esperada em 80 a 100%

Após uma segunda audiência na noite de 6 de fevereiro de 2023, a Bitvavo e outros credores chegaram a um acordo em princípio com a Digital Currency Group, detalhado em uma term sheet protocolada em 10 de fevereiro. A Bitvavo situou a taxa de recuperação esperada em 80 a 100%, pagável em dinheiro, ativos digitais e notas de capital preferencial conversíveis na DCG. Uma oferta que cobria aproximadamente os primeiros 70% estava na mesa desde o início daquele ano, e a Bitvavo a havia rejeitado por ser inferior ao que a DCG poderia pagar. A Bitvavo integrava o comitê de credores não garantidos e repetiu que garantia o valor pendente com seus próprios recursos financeiros, de modo que a taxa de recuperação afetava o balanço da Bitvavo e não o saldo de qualquer cliente. Leia o intervalo como a expectativa que a Bitvavo publicou na época, não como um número final consolidado.

Bitvavo DCG update statement, 7 February 2023

280 milhões de euros em ativos de clientes congelados na Genesis

A Bitvavo divulgou que 280 milhões de euros estavam bloqueados na Genesis Global Capital, a credora do Digital Currency Group que ela usava para pagar rendimento sobre os saldos dos clientes, depois que a Genesis suspendeu os pagamentos na esteira do colapso da FTX. A Bitvavo estimou seus depósitos de clientes e ativos digitais totais em cerca de 1,6 bilhão de euros, então aproximadamente um sexto do total estava com uma única contraparte. A Genesis entrou com pedido de Chapter 11 em 20 de janeiro de 2023. A Bitvavo manteve a plataforma e os saques funcionando, disse que tinha os fundos para pré-financiar os ativos bloqueados e assumiu o crédito ela mesma, em vez de repassar a perda aos clientes.

The Block: Bitvavo unable to access 280 million euros held at Genesis Global Capital

Configuração incorreta de cache expôs dados pessoais de oito usuários

Uma camada de cache mal configurada mostrou, por 15 minutos, os dados pessoais de oito usuários a outras pessoas conectadas ao aplicativo e ao site. A Bitvavo limpou e reconfigurou o cache dentro desses 15 minutos, e depois bloqueou o aplicativo porque as cópias em cache levam cerca de duas horas para serem apagadas dos dispositivos dos usuários. Todos os oito usuários afetados foram contatados e a Autoriteit Persoonsgegevens foi notificada. Os fundos nunca estiveram em risco, e a Bitvavo afirmou que a causa foi uma configuração incorreta do próprio lado dela, e não um ataque. A mesma publicação apresentou a Bitvavo Account Guarantee, que pode reembolsar até 100.000 euros se alguém obtiver acesso não autorizado a uma conta e se apropriar indevidamente de fundos.

Bitvavo incident report, 7 September 2022

Registrada na De Nederlandsche Bank como prestadora de serviços de cripto

A Bitvavo obteve o registro no DNB que a implementação neerlandesa da quarta diretiva de prevenção à lavagem de dinheiro alterada, em vigor desde 21 de maio de 2020, tornou obrigatório para prestadoras de serviços de troca e de custódia. O comunicado da própria empresa foi direto sobre os limites: o DNB supervisionava apenas o cumprimento da lei de prevenção à lavagem de dinheiro e ao financiamento do terrorismo e da lei de sanções de 1977, não havia supervisão prudencial pelo DNB nem supervisão de conduta pela AFM, de modo que os requisitos financeiros e os riscos do negócio ficavam sem acompanhamento e não havia proteção específica ao consumidor. A Bitvavo disse que os clientes neerlandeses haviam negociado mais de 3 bilhões de euros na plataforma naquele ano. O registro foi desde então substituído pela licença do MiCA de 2025.