Hackers publiceren 2,5 GB klantdata van beursgenoteerd crypto bedrijf Figure

Blockchain kredietverstrekker Figure bevestigt dat hackers klantgegevens buitmaken na een gerichte aanval op een medewerker. De aanvallers gebruiken social engineering om toegang te krijgen tot interne systemen en downloaden vervolgens bestanden met persoonlijke informatie. De hackergroep ShinyHunters claimt 2,5 gigabyte aan data te hebben gepubliceerd nadat het bedrijf weigert losgeld te betalen.

Crypto is verkrijgbaar bij Bitvavo en Bybit.

Medewerker misleid via social engineering

Figure maakt vrijdag bekend dat een medewerker is misleid via een social engineering aanval. Daarbij overtuigen aanvallers een werknemer om toegang te verlenen of inloggegevens prijs te geven. Volgens het bedrijf downloaden de daders via het account van de medewerker een beperkt aantal bestanden. Figure blokkeert de activiteit direct en schakelt een forensisch onderzoeksbureau in om de omvang van het lek vast te stellen.

De hackergroep ShinyHunters eist de verantwoordelijkheid op en stelt dat Figure geen losgeld betaalt. Daarop publiceert de groep naar eigen zeggen 2,5 GB aan gestolen data. TechCrunch meldt dat het een deel van de bestanden inziet. Het gaat om namen, woonadressen, geboortedata en telefoonnummers van klanten.

Mogelijke link met Okta campagne

Volgens leden van ShinyHunters maakt de aanval deel uit van een bredere campagne tegen organisaties die gebruikmaken van single sign on aanbieder Okta. Ook Harvard University en de University of Pennsylvania zouden doelwit zijn. Figure geeft geen uitgebreide details, maar bevestigt dat het samenwerkt met partners en betrokken partijen.

Het incident staat niet op zichzelf. In de cryptosector komen datalekken en crypto scams en fraude vaker voor, waarbij persoonlijke gegevens worden misbruikt voor phishing of identiteitsdiefstal. Uit het 2025 Data Breach Report van Privacy Rights Clearinghouse blijkt dat toezichthouders vorig jaar 8.019 meldingen registreren, verdeeld over 4.080 afzonderlijke datalekken. In totaal raken minstens 375 miljoen mensen getroffen. De meeste meldingen volgen pas tussen 91 en 180 dagen na ontdekking van het lek.

Beursnieuws ondanks datalek

Op dezelfde dag kondigt Figure een secundaire aandelenuitgifte aan van maximaal 4.230.000 aandelen Series A Blockchain Common Stock, zo meldt het bedrijf in een officiële aankondiging. Daarnaast wil het tot $30 miljoen aan Class A aandelen terugkopen.

Figure ging in september 2025 naar de beurs onder ticker FIGR en haalde toen $787,5 miljoen op bij een waardering van ongeveer $5,3 miljard. Het aandeel sluit vrijdag 3,57% hoger op $35,29, maar noteert over de afgelopen maand nog altijd 37% lager.

Getroffen klanten ontvangen volgens het bedrijf kosteloos kredietmonitoring. Figure stelt dat het rekeningen actief blijft monitoren en aanvullende beveiligingsmaatregelen invoert om herhaling te voorkomen. Het nieuws volgt kort nadat een bitcoin fraudeur 20 jaar celstraf kreeg, wat opnieuw de aandacht vestigt op veiligheid binnen de sector.