Swiss Bitcoin Pay heeft zijn servers tijdelijk offline gehaald nadat een vermoedelijk onbevoegde actor toegang kreeg tot de interne systemen, waardoor mogelijk contact-, bank- en transactiegegevens van klanten zijn blootgesteld.

De Bitcoin-betalingsprovider maakte het beveiligingsincident op 14 september bekend. Het bedrijf zei dat gebruikersgelden veilig zijn terwijl het de toegang onderzoekt en zijn infrastructuur beveiligt. Swiss Bitcoin Pay heeft niet bekendgemaakt wanneer de diensten worden hervat.

E-mailadressen, Bitcoin-adressen en IBANs mogelijk blootgesteld

De mogelijk geraadpleegde informatie omvat e-mailadressen van klanten, Bitcoin-adressen, IBANs, transactiegeschiedenissen en gehashte wachtwoorden. Het onderzoek heeft nog niet vastgesteld of ook andere categorieën informatie zijn bereikt.

Swiss Bitcoin Pay heeft niet bekendgemaakt hoeveel accounts mogelijk zijn getroffen, wanneer de onbevoegde toegang begon of of gegevens uit de systemen zijn gekopieerd. Ook heeft het bedrijf de toegangsmethode of de verantwoordelijke partij niet geïdentificeerd. De technische oorzaak blijft daardoor onopgelost terwijl het onderzoek voortduurt.

Een combinatie van e-mailadressen, transactiegeschiedenissen en financiële identificatiegegevens kan een aanvaller gedetailleerde informatie verschaffen voor gerichte pogingen tot identiteitsfraude of phishing. Vergelijkbare risico’s ontstonden na een recent datalek bij Trezor waarbij contact- en verzendgegevens van tienduizenden kopers van hardware wallets werden blootgesteld.

Swiss Bitcoin Pay gebruikt een niet-bewarend betalingsmodel

Swiss Bitcoin Pay exploiteert een betaaldienst voor handelaren die Bitcoin-transacties via zowel Lightning als onchain-betalingen ondersteunt. Het betalingssysteem voor handelaren is ontworpen om ontvangen Bitcoin over te maken naar wallets die door klanten worden beheerd, in plaats van de activa langdurig onder bewaring van het bedrijf te houden.

Handelaren kunnen betalingen accepteren via de mobiele applicatie, het webdashboard, e-commerce-integraties en een API. Swiss Bitcoin Pay ondersteunt ook de automatische omwisseling van ontvangen Bitcoin naar fiat voor klanten die bankuitbetalingen gebruiken. Daarvoor is bankinformatie zoals IBANs nodig.

In de verklaring van het bedrijf wordt de vermoedelijke toegang tot de systemen onderscheiden van het beheer van klantgelden; daarin staat dat de fondsen veilig zijn. Het heeft geen bewijs gepubliceerd van ongeautoriseerde Bitcoin-transfers en geen verliesbedrag vastgesteld dat met de inbraak verband houdt.

Servers blijven offline tijdens beveiligingsonderzoek

Swiss Bitcoin Pay heeft zijn infrastructuur uit voorzorg offline gehaald in plaats van door te gaan met de activiteiten terwijl het bedrijf de omvang van de toegang vaststelt. Het bedrijf heeft geen technische hoofdoorzaak, tijdlijn voor herstelmaatregelen of schema per dienst voor het hervatten van de activiteiten gepubliceerd.

De bekendmaking volgt op andere beveiligingsincidenten met klantgegevens in de cryptosector, waaronder een recent lek van bestelgegevens bij SafePal waarbij 39.798 klanten betrokken waren. SafePal schreef dat afzonderlijke incident toe aan een autorisatiefout in een plug-in voor het volgen van bestellingen. Swiss Bitcoin Pay heeft zijn vermoedelijke inbreuk nog niet gekoppeld aan een specifieke applicatie, afhankelijkheid of kwetsbaarheid.

Swiss Bitcoin Pay blijft offline en er is geen datum voor heropening verstrekt. Het bedrijf zei dat alle bedragen die momenteel aan gebruikers verschuldigd zijn volledig zullen worden terugbetaald terwijl het werkt aan het beveiligen van de getroffen infrastructuur.

Bron: Crypto Adventure