Floin: cyberaanval legt MiCA-cryptoplatform uit Liechtenstein plat

Floin, een cryptoplatform uit Vaduz met een MiCA-vergunning van de Liechtensteinse financiële toezichthouder FMA, is naar eigen zeggen het doelwit geworden van een cyberaanval. Op zaterdag 31 oktober 2026 heeft Floin alle diensten offline gehaald: app en webplatform zijn tot nader order niet bereikbaar. In een mail aan zijn klanten om 11.54 uur waarschuwt het bedrijf om vanaf nu niets meer naar Floin-walletadressen te sturen, ook al zijn stortingen technisch nog mogelijk. Of er klantgeld is weggevloeid, heeft Floin tot nu toe niet gemeld.

Het belangrijkste in het kort

• Incident: cyberaanval volgens Floin, klantenmail op 31 oktober 2026 om 11.54 uur, app en webplatform sindsdien offline.
• Waarschuwing: geen stortingen en geen cryptoactiva naar Floin-walletadressen, ook niet vanaf externe wallets of andere exchanges.
• Schade: Floin noemt tot zaterdagmiddag geen bedrag en geen getroffen munten.
• Toezicht: MiCA-vergunning van de FMA Liechtenstein sinds 10 juni 2026, geldig in alle 30 staten van de EER, ook in Nederland.
• Depositogarantie: de 100.000 euro van het wettelijke depositogarantiestelsel geldt niet voor cryptoactiva; MiCA eist in plaats daarvan gescheiden bewaring en aansprakelijkheid tot de marktwaarde.
• Hackgolf: tweede incident bij een centraal platform binnen 48 uur, na de Binance-hack van 29 oktober met zo’n 6,3 miljard dollar schade volgens Binance.

Cyberaanval op Floin: wat het platform zijn klanten meldt

De mededeling is kort en laat de belangrijkste vragen open. Floin schrijft dat het platform doelwit is geworden van een cyberaanval, dat alle platformdiensten offline zijn en dat de toegang tot app en webplatform daarom tot nader order niet mogelijk is. Het onderzoek loopt en heeft de hoogste prioriteit. Op de statuspagina staat het incident sinds 11.30 uur met de vermelding ‘Investigating’, dezelfde melding toont een banner op de startpagina van floin.com. CryptoTicker beschikt over de mail.

Voor klanten tellen drie zinnen. Ten eerste: geen stortingen op Floin-wallets, ook niet vanaf externe wallets of andere platforms, uitdrukkelijk ‘even if deposits are still technically possible’. Ten tweede: Floin beantwoordt momenteel geen individuele vragen, ook geen e-mails. Ten derde: nieuws komt alleen op de eigen website, die klanten dagelijks moeten controleren.

Onduidelijk blijft wanneer de aanval begon, welke systemen getroffen zijn, of er munten of klantgegevens zijn weggevloeid en wanneer opnames weer mogelijk worden. Wie nu toch munten naar een Floin-adres stuurt, heeft op dit moment geen aanspreekpunt dat ze zou kunnen toewijzen.

Wie er achter Floin zit: MiCA-cryptoplatform uit Vaduz

Achter het platform staat Floin AG, gevestigd Am Schrägen Weg 2 in 9490 Vaduz, opgericht op 29 januari 2021 als The Finest Token AG en ingeschreven in het Liechtensteinse handelsregister onder FL-0002.652.200-0. Oprichter en CEO is volgens het colofon Marc Weber. Volgens het aandelenprospectus van 30 juni 2026 houdt hij 90,01 procent van het kapitaal, de overige 9,99 procent ligt bij een Sloveense vennootschap waarin hij voor de helft deelneemt. Voorzitter van de raad van bestuur is volgens het uittreksel uit het handelsregister advocaat Thomas Stern. Floin werd in 2023 bekend met de verkoop van een eigen token, dat op floin.com nu onder de ticker FLTK staat: tot half juli 2023 liep een private sale, op 20 juli 2023 meldde Floin de start van de openbare verkoop. In januari 2024 publiceerde beveiligingsbedrijf Halborn een casestudy over Floin: bij een controle van smart contract en platform vond het 34 kwetsbaarheden, die Floin volgens Halborn allemaal heeft verholpen.

Hoe groot Floin is, toont de jaarrekening 2024 die het bedrijf zelf publiceert: een omzet van 3,28 miljoen frank (2023: 3,63 miljoen), een nettowinst van 201.193 frank en een aandelenkapitaal van 250.000 frank. Accountant Grant Thornton in Schaan heeft de jaarrekening beoordeeld.

Tegelijk haalt Floin momenteel eigen vermogen op bij zijn community. Op de aanbiedingspagina verkoopt het bedrijf preferente aandelen van Floin AG als token onder de naam FLEQ, op basis van een prospectus dat de FMA op 30 juni 2026 heeft goedgekeurd. De communityronde loopt tegen 1,44 frank per aandeel, de minimale inschrijving is 5.000 frank, daarna geldt een lock-up van twaalf maanden. Floin noemt daarvoor een waardering van zo’n 45 miljoen euro; zaterdag toonde de pagina voor deze ronde 10.510 van 1.000.000 aandelen als verkocht. In totaal omvat het aanbod tot 7 miljoen frank. Voor kopers van deze aandelen geldt de bewaarbescherming van MiCA niet: als aandeelhouders dragen zij het ondernemersrisico.

In het MiCA-register van de Europese effectentoezichthouder ESMA staat Floin AG sinds 10 juni 2026 met een vergunning van de FMA Liechtenstein voor vijf diensten: bewaring van cryptoactiva voor klanten, omwisseling tegen geld, omwisseling tegen andere cryptoactiva, plaatsing en overdracht. Via het Europese paspoort geldt de vergunning in de hele Europese Economische Ruimte. Onder elke klantenmail staat bovendien het nummer 329177 als geregistreerde cryptodienstverlener (VASP) bij de FMA.

Wat Floin zijn klanten in 2026 heeft gemeld, levert een dichte kroniek op, samengesteld uit de klantenmails en het ESMA-register:

Floin en de depositogarantie: wat MiCA regelt als het misgaat

Een depositogarantie zoals bij een bank bestaat voor cryptoactiva niet, ook niet bij een aanbieder met MiCA-vergunning. Het wettelijke depositogarantiestelsel volgens de EU-richtlijn 2014/49/EU beschermt banktegoeden tot 100.000 euro per klant en per bank. Munten op een cryptoplatform zijn geen banktegoed.

Wat de MiCA-verordening (EU) 2023/1114 in plaats daarvan eist:

• Gescheiden bewaring: bewaarde cryptoactiva behoren juridisch niet tot het vermogen van de aanbieder, schuldeisers van de aanbieder hebben er bij een faillissement geen toegang toe (artikel 75, lid 7).
• Aansprakelijkheid: verliest een aanbieder cryptoactiva of de toegangsmiddelen daartoe door een incident dat hem is toe te rekenen, dan is hij aansprakelijk tegenover de klant, begrensd tot de marktwaarde op het moment van het verlies (artikel 75, lid 8).
• Eurotegoeden: klantgeld moet de aanbieder uiterlijk aan het einde van de volgende werkdag bij een bank of centrale bank onderbrengen, gescheiden van het eigen geld (artikel 70).
• Meldplicht: sinds 1 februari 2025 geldt in Liechtenstein ook de EU-verordening DORA over digitale operationele weerbaarheid. Een ernstig IT-incident moet Floin bij de FMA melden, de eerste melding in de regel binnen 24 uur na kennisname (artikel 19). Of Floin de aanval heeft gemeld, is niet bekend.

In de praktijk betekent dit: of Floin-klanten bij schade geld terugkrijgen, hangt af van wat er is weggevloeid en of Floin het verlies uit eigen middelen of via een verzekering draagt. Over een garantiefonds zoals het SAFU-fonds van Binance rept Floins mededeling van zaterdag niet. Hoeveel de grote exchanges in zulke potten aanhouden, hebben we elders nagerekend.

Cryptohacks slag op slag: waarmee aanvallers nu wegkomen

Floin is het tweede incident bij een centraal platform binnen 48 uur. Op de avond van 29 oktober vloeide bij Binance volgens de exchange zo’n 6,3 miljard dollar weg, meer dan bij welke cryptohack ook. In september trof het Bitget, de exchange vergoedde de schade uit zijn beschermingsfonds. Alle grote zaken verzamelen we op de rubriekpagina Crypto hacks.

Het patroon van de grote zaken is hetzelfde: niet de cryptografie wordt gekraakt, maar mensen en apparaten. Bij Binance was volgens de exchange de gecompromitteerde laptop van een DevOps-engineer de toegangspoort; via die laptop kwamen de aanvallers bij een servicecontainer die opnames vrijgeeft. Details staan in Binance becijfert de hack op 6,3 miljard dollar. De Bybit-hack van februari 2025 met zo’n 1,5 miljard dollar schreef de FBI toe aan Noord-Korea, net als blockchainanalisten de Binance-zaak. Bij Ledger volstond in december 2023 een phishingaanval op een voormalige medewerker, waarna een gemanipuleerde versie van een softwarebibliotheek online stond; klanten verloren zo’n 600.000 dollar, meldde BleepingComputer.

Welke weg de aanvallers bij Floin hebben genomen, is onduidelijk. Eén detail onderscheidt de zaak toch: Binance noemde nog op de dag van de aanval een schadebedrag en zegde kort daarna toe alle klantverliezen te vergoeden. Floin verwijst tot nu toe alleen naar zijn website.

Zelf bewaren, exchange of broker: waar je geld na de Floin-hack veiliger staat

Een plek zonder risico bestaat niet, alleen verschillende risico’s. Op een exchange draag je het risico van de aanbieder, in je eigen wallet je eigen risico, en bij een broker koop je in plaats van munten meestal een financieel product op de koers.

Zelf bewaren maakt je onafhankelijk van Floin, Binance en elk ander platform, maar ook als enige verantwoordelijk. Bij de softwarewallet Atomic Wallet verloren gebruikers in juni 2023 volgens Elliptic meer dan 100 miljoen dollar; het analysebureau ziet de Noord-Koreaanse Lazarus-groep erachter. In januari 2025 ontvoerden daders in Frankrijk Ledger-medeoprichter David Balland om losgeld in crypto af te persen, zoals The Local meldde. En hoe snel één fout volstaat, liet op 30 oktober een influencer zien die in plaats van het contractadres haar private key postte: memecoin van Mika in 81 seconden leeggehaald.

Wie zelf wil bewaren, heeft een hardware wallet en een goed beveiligde herstelzin nodig. Hoe dat werkt, staat in onze gids Crypto veilig bewaren, de apparaten vergelijken we in onze hardware-wallet-vergelijking.

Gereguleerde broker in plaats van crypto-exchange: wat XTB biedt

Een alternatief dat na weken als deze voor de hand ligt: een effectenrekening bij een gereguleerde broker, met aandelen, ETF’s en goud, en crypto alleen als aanvulling. Een voorbeeld is XTB. XTB S.A. staat onder toezicht van de Poolse financiële toezichthouder KNF. Klantgeld staat volgens XTB gescheiden van het vermogen van de broker en valt niet in diens faillissementsboedel; niet-belegd geld is via het Poolse compensatiestelsel KDPW beschermd tot 20.100 euro. In het aanbod zitten aandelen en meer dan 2.300 ETF’s, goud en cryptomunten verhandel je er als CFD.

Voor crypto betekent dit: met een CFD bezit je geen bitcoin, je kunt hem niet naar een wallet overboeken en ook niet zelf bewaren. Je speculeert op de koers. Daar staat tegenover dat er geen stortingsadres is dat gehackt kan worden. De verplichte waarschuwing van XTB, per 31 oktober 2026: CFD’s zijn complexe instrumenten en brengen door de hefboomwerking een groot risico met zich mee om snel geld te verliezen. 77 procent van de rekeningen van particuliere beleggers verliest geld bij de handel in CFD’s met deze aanbieder. Overweeg of je begrijpt hoe CFD’s werken en of je het je kunt veroorloven het grote risico te lopen je geld te verliezen.

Actie tot 30 november 2026: nieuwe klanten krijgen bij XTB een gratis preferent aandeel Porsche, beperkt tot de eerste 5.000. Voorwaarde is een storting van minstens 50 euro binnen 7 dagen na het openen van de rekening en akkoord met de actievoorwaarden in de app. Daarbij komt tot 31 december 2026 een welkomstrente van tot 4,5 procent per jaar op vrij saldo tot 20.000 euro, voor de eerste 90 dagen en met minstens één aandelen- of ETF-transactie per maand. Naar de Porsche-actie bij XTB (partnerlink). Hoe aanbieders zich bij het kopen van crypto onderscheiden, staat in onze vergelijking om bitcoin te kopen.

Wat Floin-klanten nu moeten doen

1. Niets naar Floin-adressen sturen. Controleer spaarplannen, periodieke opdrachten en opgeslagen opnameadressen bij andere exchanges en wallets en verwijder daar Floin-adressen.
2. Pas op voor phishing. Na hacks volgen valse mails met zogenaamde terugbetalingsformulieren of supportcontacten. Floin informeert naar eigen zeggen alleen via de website en beantwoordt geen individuele vragen. Vul nergens je herstelzin of wachtwoord in.
3. Stand vastleggen. Bewaar rekeningafschriften, transactiebewijzen en screenshots die je al hebt. Je hebt ze nodig voor mogelijke claims en voor je belastingaangifte.
4. Wachtwoorden wijzigen als je je Floin-wachtwoord ook elders gebruikt, en daar de tweefactorauthenticatie controleren.
5. Toezichthouder kennen. Bevoegd voor Floin is de financiële toezichthouder van Liechtenstein, daar kun je een klacht indienen.

Wie sinds maart een self-custody-wallet in de Floin-app gebruikt, houdt de sleutels volgens Floins eigen beschrijving zelf. Of deze wallets door de aanval zijn getroffen, zegt de mededeling niet; de waarschuwing tegen stortingen geldt zonder onderscheid voor alle Floin-walletadressen.

Analyse: een MiCA-vergunning is geen schild tegen hacks

Een MiCA-vergunning bewijst dat een aanbieder regels over bewaring, kapitaal en aansprakelijkheid moet naleven en onder toezicht staat. Ze bewijst niet dat hij niet kan worden aangevallen. Dat geldt voor Floin net zo goed als voor elke grote exchange.

De echte test voor Floin begint nu: hoe snel het bedrijf zegt wat er is gebeurd, of klanttegoeden getroffen zijn en wanneer opnames weer lopen. Hoe langer deze drie antwoorden uitblijven, hoe meer er pleit voor de verdeling die we na de Binance-hack hebben aanbevolen: wat je verhandelt, staat bij een gereguleerde exchange, wat je lang aanhoudt, op een eigen hardware wallet, en wie alleen wil meeprofiteren van de koers, kan dat ook via een effectenrekening bij een broker doen. CryptoTicker heeft Floin op 31 oktober om een reactie op de actuele situatie gevraagd; zodra die er is, vullen we die hier aan, net als nieuwe informatie op de statuspagina.

Openheid: de uitgever van CryptoTicker heeft bij Floin een klantrekening die niet actief wordt gebruikt; daarlangs kwam ook de mededeling van 31 oktober.

(Per 31 oktober 2026. Dit artikel is geen beleggingsadvies. Koersen en tarieven veranderen; controleer de voorwaarden bij de aanbieder voordat je koopt.)