De Zuid-Koreaanse cryptocurrencybeurs Bithumb ontdekte op 27 oktober ongeautoriseerde toegang tot haar interne mobiele groupware en meldde het incident dezelfde dag bij het Korea Internet & Security Agency (KISA) en de Personal Information Protection Commission (PIPC), aldus Yonhap.

Waartoe hadden de aanvallers toegang

Het gecompromitteerde systeem is Daou Office, een werkomgeving die Bithumb-medewerkers gebruiken voor berichten en het delen van bestanden, aldus News1. Bithumb gaf aan het medium mee dat de handelsdiensten op een fysiek gescheiden netwerk draaien en dat er geen cryptocurrency is gestolen. Dat is in lijn met de maatregelen die in Bithumb's beveiligingsaankondiging van 2 oktober worden beschreven: opslag in cold wallets en goedkeuringsstappen voor het verplaatsen van klantactiva, plus beperkingen en toegangslogging voor medewerkers die met persoonlijke gegevens omgaan.

De open vraag is welke gegevens zich in de app bevonden. Volgens Digital Today betreft de tot nu toe blootgestelde informatie vooral medewerkers, maar Bithumb heeft ledengegevens niet uitgesloten. Personeelschats en gedeelde bestanden kunnen tijdens dagelijkse ondersteuningswerkzaamheden klantgegevens bevatten, en daarom omvat het onderzoek ook berichten en documenten, en niet alleen de centrale klantendatabase.

In een verklaring geciteerd door Financial News en vertaald uit het Koreaans, zei de beurs: "We analyseren de precieze omvang, inclusief de mogelijkheid dat ledengegevens erbij betrokken waren."

Bithumb heeft niet gezegd hoeveel personen, indien van toepassing, zijn getroffen, welke gegevensvelden zijn blootgesteld of hoe de aanvallers toegang kregen.

Het cijfer van 38.490 is niet van Bithumb

Bithumb meldde de inbreuk op dezelfde dag als twee andere Koreaanse financiële bedrijven, en ten minste één cryptonieuwssite meldde vervolgens dat Bithumb's inbreuk 38.490 klanten trof. Dat cijfer behoort toe aan Daishin Securities. The Korea Times schreef dat Daishin een lek van persoonlijke en kredietgegevens van 38.490 klanten bevestigde na ongeautoriseerde toegang tot een server die gekoppeld is aan online rekeningopeningen, terwijl ook Mirae Asset Global Investments werd getroffen.

De openbaarmaking van Daishin laat zien hoe een bevestigde melding eruitziet. Digital Today berichtte dat het onderzoek acht soorten gelekte gegevens aantrof, waaronder namen, e-mail- en thuisadressen, telefoonnummers, banknamen en rekeningnummers. Bithumb heeft nog niets vergelijkbaars gepubliceerd. Er is bovendien geen openbare bevinding dat de drie incidenten een gezamenlijke aanvaller of toegangspunt delen.

Bithumb is het eerder overkomen

In 2017 compromitteerde een aanvaller de thuiscomputer van een Bithumb-medewerker en verkreeg de namen, e-mailadressen en mobiele nummers van ongeveer 31.800 gebruikers, aldus destijdse berichten. Er zijn geen wachtwoorden gestolen, en Bithumb benadrukte destijds dat de servers van het hoofdkantoor niet waren binnengedrongen.

De schade kwam daarna. Klanten begonnen oproepen en berichten te ontvangen van mensen die zich voordeden als Bithumb-personeel en hun namen en nummers al kenden, en sommigen werden overhaald om de eenmalige wachtwoorden die hun accounts beschermden te delen. Meer dan 100 klanten dienden klachten in bij de cybercrime-eenheid van de politie, en Bithumb bood 100.000 won aan per getroffen gebruiker, plus vergoeding van aangetoonde verliezen.

De inbreuk van 2026 betreft een ander systeem en tot nu toe een andere omvang. Maar het patroon is wat het bestaan waard is: het risico van een datalek bij een beurs manifesteert zich meestal pas later, via een telefoongesprek dat echt klinkt omdat de beller echte details kent. Vergelijkbare zorgen ontstonden na een datalek met klantgegevens bij de Israëlische broker Bits of Gold.

De waarschuwing die Bithumb twee weken eerder uitgaf

Op 14 oktober, vóór dit incident, publiceerde Bithumb richtlijnen over oplichting met gelekte persoonlijke gegevens. Het waarschuwde dat een naam, contactgegevens en kennis van de diensten die iemand gebruikt een frauduleus bericht geloofwaardig kunnen maken, en beschreef aanpakken rond valse compensatieaanbiedingen, identiteitscontroles en accountbeveiligingscontroles — precies de trucs die een oplichter deze week zou proberen bij bezorgde klanten.

Wat Bithumb-klanten nu kunnen doen

• Behandel elk telefoongesprek, sms-bericht of e-mail over de inbreuk als ongeverifieerd totdat het is gecontroleerd in de Bithumb-app of op de normaal gebruikte website.
• Deel nooit een wachtwoord, eenmalige code of verificatienummer met wie dan ook die contact opneemt, welke details deze ook al kent.
• Negeer "compensatie"-aanbiedingen die vragen om in te loggen via een link of om geld over te maken.
• Houd het officiële mededelingenbord van Bithumb in de gaten voor een melding waarin de betrokken gegevens worden genoemd.

Wanneer klanten meer hooren

Korea's Personal Information Protection Act stelt een termijn. Zodra een bedrijf op de hoogte raakt van een lek met persoonlijke gegevens, moet het binnen 72 uur getroffen personen informeren, inclusief stappen die zij kunnen nemen om schade te beperken, en binnen dezelfde termijn rapporteren aan de PIPC of KISA als 1.000 of meer personen zijn getroffen of het lek ongeautoriseerde externe toegang betrof.

Bithumb heeft de inbreuk al gemeld bij beide instanties. Als het onderzoek bevestigt dat klantgegevens zijn blootgesteld, begint de 72-uurstermijn voor het informeren van die klanten op dat moment. Een nuttige melding zou zeggen welke gegevensvelden zich in de app bevonden, welke periode de blootstelling bestrijkt en hoe Bithumb getroffen gebruikers zal benaderen — zodat klanten een echt bericht kunnen onderscheiden van de oplichting waarover de eigen richtlijnen waarschuwden.

Dit artikel wordt uitsluitend voor informatieve doeleinden verstrekt. De omvang van het incident wordt nog onderzocht en bevindingen kunnen veranderen naarmate Bithumb en de autoriteiten meer informatie vrijgeven.