Curaçao Gambling Hack avslører rundt 800 skjulte kasinoeiere, de fleste av dem europeiske

Hva Curaçao gambling hack avslørte

En ni måneder lang inntrengning i Curaçao Gaming Authority (CGA) har avslørt hvem som virkelig eier hundrevis av offshore online kasinoer. De fleste av disse eierne, viser det seg, er europeiske.

De lekke filene knytter rundt 800 reelle eiere til de 646 selskapene som hadde en Curaçao-gamblinglisens i desember 2025. Sammen driver disse firmaene tusenvis av nettsteder, inkludert merker som regulatorer over hele Europa har bøtelagt eller svartelistet.

Dokumentene antyder også at regulatoren rutinemessig godkjente lisenser mens grunnleggende spørsmål om eierskap forble ubesvart. CGA har ikke bestridt dette punktet. Flere av bransjens mest kjente kryptokasinoer og sportsbooks er blant merkene hvis eiere av rekord nå vises i cachen.

For europeiske myndigheter leverer lekkasjen noe de har manglet i flere tiår: navn. Til nå har en vegg av anonyme postkassefirmaer skjult de ansvarlige for både regulatorer og skatteoppkrevere.

Hvordan en falsk lisenssøker kom inn i regulatoren

Bruddet begynte med et enkelt bedrag. I desember 2025 meldte den Berlin-baserte hackeren Lilith Wittmann seg på CGAs lisensportal. Hun utga seg som en nederlandsk tillitskontorsjef som regulatoren allerede kjente, men skrev inn sin personlige e-postadresse.

Hun hevdet å representere en stiftelse hun hadde oppfunnet, og tilgang ble gitt i løpet av dager. Av sin egen konto fant hun en utnyttbar sikkerhetsfeil i løpet av timer etter pålogging.

Den feilen åpnet hele lisensstyringssystemet, der hver søknad og støttedokument ble lagret. Wittmann sier at hun så på regulatoren "på jobb i sanntid" i omtrent ni måneder, ubemerket av personalet.

CGA har bekreftet at en konto opprettet under falsk identitet brukte portalen sin fra desember 2025 til september 2026. Den sier at inntrengingen har blitt begrenset, kaller det et alvorlig brudd under Curaçaos lov og vil rapportere det til myndighetene.

Draget er stort. Det inkluderer eierskapserklæringer, lisenssøknader, regulatorens interne vurderinger, pass, selvangivelser og regnskap.

Den 23. september gikk et søkbart offentlig arkiv med mer enn 40 000 dokumenter online under navnet Casino Secrets. Alle kan slå opp selskaper og domener, selv om nettstedet understreker at det å vises i filene ikke innebærer ulovlig oppførsel.

Wittmann er ikke fremmed for gamblingregulatorers servere. Tidligere i 2026 brøt hun et system som tilhører Malta Gaming Authority.

Et europeisk eierskapsnettverk bak karibiske postkasser

Statsborgere fra Ukraina, Storbritannia og Kypros leder listen over eiere som er identifisert i filene, mens 13 er nederlandske. På papiret er virksomhetene deres Curaçao postboksselskaper administrert av lokale tillitskontorer.

Det portvaktlaget er bemerkelsesverdig lite. Bare 40 representanter fra 30 tillitskontorer behandlet regulatoren på vegne av de lisensierte firmaene, og 31 av dem har nederlandsk pass.

Filene når også toppen av markedet. Fire saker skiller seg ut:

Da de ble henvendt, sa sportsbookens representanter at de ikke kunne svare på antakelser hentet fra dokumenter de ikke hadde sett. Det Brasil-vendte kasinoets eiere og operatøren som ble bøtelagt i Nederland svarte ikke. Å vises i filene betyr ikke at noen har brutt loven.

I Tyskland koblet reportere som jobbet gjennom filene omtrent 1000 kasinodomener til operatører knyttet til én programvareleverandør. Leverandøren sier at den ikke driver noen kasinoer og sammenligner rollen sin med rollen som en leverandør av kontorprogramvare. CGA avfeide grupperingen som reporternes egen oppfinnelse.

Den samme serien av avsløringer når inn i Tysklands største ulovlige kasinosak. Den 8. september gjennomsøkte mer enn 100 offiserer 11 eiendommer, de fleste rundt Frankfurt, og arresterte en hovedmistenkt. Påtalemyndigheten hevder at det ulisensierte kasinoet tok rundt 5,86 milliarder euro i innsats mellom juli 2021 og slutten av 2023.

Tysklands felles gamblingregulator, GGL, har siden identifisert det tyskvendte nettkasinoet i sentrum av saken. Wittmann, som knytter kasinoet til Curaçao, anslår den tyske gamblingskatten til rundt 250 millioner euro, et tall som ikke er offisielt bekreftet. Programvareleverandøren sier at den kan ha levert individuelle komponenter til det kasinoet, men spilte ingen rolle i driften.

Historien når også Norden. Allmennkringkastere i Norge og Sverige undersøkte filene sammen med nederlandske, tyske og østerrikske redaksjoner, og norsk rapportering fant nordmenn blant lisenssøkerne.

Curaçaos lisensoverhaling under brann

Lekkasjen lander akkurat da Curaçao prøver å riste av seg sitt langvarige rykte for slapp tilsyn. I nesten 30 år solgte noen få private masterlisensinnehavere underlisenser til operatører over hele verden, med staten knapt involvert.

Denne lisensen tillot aldri operatører å ta spill i andre land. Appellen var tilgang: til lokale tillitskontorer, betalingsfirmaer og leverandører av kasinoprogramvare, pluss et stempel som fikk operatørene til å se legitime ut.

Under press fra Nederland vedtok Curaçao National Ordinance on Games of Chance (LOK) i 2024, og satte operatører under direkte CGA-tilsyn. En lisens koster nå rundt €47 450 i året, og regulatoren strammet inn reglene for kryptooperatører i juni.

CGA sier at sektoren fortsatt er i overgang. Nye krav fases inn trinn for trinn, et valg tatt under finansministerens ansvar. Regulatoren legger til at den ikke nekter lisenser ved første tegn på tvil.

Den sier også at den har avvist omtrent 28 % av søknadene siden 2023, og at lisensene ikke dekker markeder som Tyskland. Den advarer mot å bedømme søknader fra enkeltdokumenter uten hele filen.

Kritikere er ikke overbevist. Marcel Pheijffer, en rettsmedisinsk regnskapsprofessor ved Nyenrode Business University, sa at en slik tilnærming ville være umulig i Nederland. En regulator, hevdet han, bør tenke før den handler.

Björn Fuchs, styreleder i den nederlandske nettgamblingforeningen VNLOK, gikk videre. Han sa at den nye loven ser ut til å "mislykkes" og oppfordret regulatoren til å nekte lisenser når røde flagg gjenstår.

Hva skjer videre

Nedfallet begynner bare. CGAs rettsmedisinske etterforskning pågår fortsatt, og Wittmann har sagt at hun planlegger å frigi hele listen over reelle eiere.

På Curaçao flyttes granskningen til Finansdepartementet. Regulatoren sier at den langsomme utrullingen av de nye reglene ble bestemt under ministerens ansvar, og lokale medier spør allerede hvilke instruksjoner CGA mottok.

Bedrifter som er avhengige av erklærte eierskapsdata, står overfor sin egen regning. Banker, betalingsleverandører og kryptofirmaer som samarbeider med Curaçao-lisensierte operatører kan trenge å se på due diligence-filene sine på nytt.

Den juridiske kampen om Wittmanns metoder er langt fra avgjort. Ifølge Wittmann tapte Malta Gaming Authority nylig en midlertidig sak mot henne i Berlin, slik at hun kan fortsette å bruke dokumentene.

For spillere er takeawayen enkel: en Curaçao-lisens avslører lite om hvem som driver et kasino. Det gjør heller ikke en operatør lovlig i land som Tyskland eller Nederland, som krever nasjonal lisens.

FAQ

Hva skjedde i Curaçaos gambling-hack?

En hacker registrerte seg på Curaçao Gaming Authority sin lisensportal under falsk identitet i desember 2025. Hun hadde da tilgang til regulatorens lisensstyringssystem i omtrent ni måneder, inntil bruddet ble oppdaget i september 2026.

Hvem står bak hacket fra Curaçao Gaming Authority?

Den Berlin-baserte hackeren og sikkerhetsforskeren Lilith Wittmann har tatt på seg ansvaret. Tidligere i 2026 brøt hun også et system fra Malta Gaming Authority.

Hvor mange kasinoeiere ble avslørt?

Filene knytter rundt 800 reelle eiere til 646 selskaper lisensiert på Curaçao per desember 2025. De fleste av eierne er europeiske, ledet av statsborgere fra Ukraina, Storbritannia og Kypros.

Er store kasinomerker berørt av lekkasjen?

Ja. Flere av de mest kjente kryptokasinoene og sportsbookene som er lisensiert på Curaçao, vises i dokumentene, sammen med hundrevis av mindre kjente operatører. Å bli navngitt i filene betyr ikke i seg selv feil.

Kan et Curaçao-lisensiert kasino lovlig operere i Europa?

Ikke på grunn av den lisensen alene. En Curaçao-lisens tillater ikke gambling i land som Tyskland eller Nederland, som krever sine egne nasjonale lisenser.

Hvordan har Curaçao Gaming Authority reagert?

CGA bekreftet den uautoriserte tilgangen, sier at den er inneholdt og kaller det et alvorlig brudd under Curaçaos lov. Den sier bransjen er i en overgangsperiode og advarer mot å trekke konklusjoner fra enkeltdokumenter.