Geen tekortkoming in zorgplicht bij verlies cryptovaluta na hack klantaccount
Rb. Amsterdam 18 oktober 2024, IT 4711; ECLI:NL:RBAMS:2024:6485 (Eiser tegen Coin Meester B.V.). Coin Meester exploiteert een website voor de handel in cryptovaluta. Eiser verloor €15.818 aan cryptovaluta nadat zijn account via een wachtwoord-reset werd gehackt. Eiser vorderde schadevergoeding van Coin Meester, stellende dat zij tekort was geschoten in haar zorgplicht door onvoldoende beveiligingsmaatregelen te treffen. Coin Meester betwistte dit en voerde aan dat zij voldoende veiligheidsmaatregelen had genomen, waaronder het verplicht stellen van tweestapsverificatie (2FA) bij registratie, en dat zij klanten expliciet had gewezen op de veiligheidsvoordelen van Google Authenticator (GA) boven 2FA via e-mail. De rechtbank kwalificeert de rechtsverhouding tussen partijen als een overeenkomst van opdracht (artikel 7:400 BW) en oordeelt dat Coin Meester heeft voldaan aan de zorgplicht van een redelijk bekwaam en handelend opdrachtnemer. Coin Meester stelde 2FA verplicht, informeerde haar klanten uitgebreid over het gebruik van GA en de bijbehorende veiligheidsvoordelen, en handelde conform de destijds gangbare beveiligingsstandaarden. Verder oordeelt de rechtbank dat Coin Meester geen aanleiding had om aan te nemen dat het account van eiser was gehackt op het moment van de transacties. Het wijzigen van het wachtwoord en de overboeking van cryptovaluta naar een externe wallet zijn immers gebruikelijke handelingen in de cryptovalutahandel. Coin Meester had bovendien geen verplichting om externe wallets te verifiëren of accounts automatisch te blokkeren bij een wachtwoordwijziging, tenzij er concrete aanwijzingen van misbruik waren. De rechtbank acht Coin Meester niet aansprakelijk voor het verlies van de cryptovaluta. Om die reden wordt de vordering tot schadevergoeding afgewezen.