A Bitrefill divulgou detalhes de um ataque cibernético em 1º de março de 2026, revelando que os atacantes esvaziaram os fundos de suas carteiras quentes e acessaram partes de sua infraestrutura interna.
A empresa disse que sua investigação identificou múltiplas semelhanças com operações passadas vinculadas ao Grupo Lazarus. No entanto, não chegou a atribuir definitivamente o ataque.
A violação foi detectada após a Bitrefill observar padrões de compra incomuns ligados à sua rede de fornecedores, juntamente com transferências não autorizadas de suas carteiras. A empresa imediatamente desconectou seus sistemas para conter o incidente.
O ataque começou com um dispositivo de funcionário comprometido
De acordo com Bitrefill, a intrusão originou-se de um laptop de um funcionário comprometido, que permitiu aos atacantes extrair uma credencial antiga.
Essas credenciais forneceram acesso a uma captura de tela contendo segredos de produção, permitindo que os atacantes elevassem privilégios em partes da infraestrutura da empresa.
De lá, os atacantes obtiveram acesso a sistemas internos, segmentos de banco de dados e certas carteiras de criptomoedas. Isso acabou levando a movimentações de fundos e interrupções operacionais.
Carteiras quentes esvaziadas à medida que canais de oferta são explorados
Bitrefill disse que os atacantes exploraram tanto seu sistema de inventário de cartões-presente quanto sua infraestrutura de cripto.
Atividades de compra suspeitas revelaram que as cadeias de suprimento estavam sendo abusadas, enquanto carteiras quentes eram esvaziadas simultaneamente e os fundos transferidos para endereços controlados pelo atacante.
A empresa não divulgou o valor total dos fundos perdidos. No entanto, confirmou que a violação afetou tanto suas operações de comércio eletrônico quanto os saldos da carteira.
18.500 registros acessados, exposição limitada de dados
Os logs do banco de dados mostraram que aproximadamente 18.500 registros de compra foram acessados durante a violação. Os dados expostos incluíram:
- Endereços de e-mail
- Endereços de pagamento em criptomoeda
- Metadados, como endereços IP
Para cerca de 1.000 compras, os nomes dos clientes foram incluídos. Embora esses dados tenham sido criptografados, a Bitrefill afirmou que os atacantes podem ter acessado as chaves de criptografia e está tratando como potencialmente expostos.
Os usuários afetados nesta categoria já foram notificados.
A empresa enfatizou que não há evidências de extração completa do banco de dados, observando que as consultas pareciam limitadas e exploratórias.
Padrões ligados ao Lazarus identificados na investigação
Bitrefill disse que sua investigação—baseada em análise de malware, rastreamento on-chain e infraestrutura reutilizada, como endereços IP e de e-mail—revelou semelhanças com táticas conhecidas utilizadas pelo Grupo Lazarus e sua unidade associada, Bluenoroff.
Embora a atribuição permaneça cautelosa, a sobreposição no modus operandi e nas ferramentas sugere que o ataque pode estar alinhado com campanhas anteriores que visavam empresas de criptomoedas.
Sistemas restaurados à medida que as operações se normalizam
Após o incidente, a Bitrefill trabalhou com empresas externas de cibersegurança, analistas on-chain e autoridades policiais para conter a violação e restaurar as operações. A maioria dos serviços, incluindo pagamentos e disponibilidade de produtos, retornou ao normal desde então.
A empresa disse que permanece financeiramente estável e absorverá os prejuízos com capital operacional. Ela também detalhou as medidas tomadas após o incidente, incluindo:
- Controles de acesso reforçados
- Monitoramento e registro expandidos
- Auditorias de segurança adicionais e testes de penetração
A Bitrefill afirmou que os dados dos clientes não foram o alvo principal e, com base nas descobertas atuais, os usuários não precisam tomar ações específicas além de permanecerem atentos a comunicações suspeitas.
Resumo final
- A Bitrefill confirmou um ataque cibernético que esvaziou carteiras quentes e expôs dados limitados de usuários, com a investigação apontando semelhanças com as táticas do Grupo Lazarus.
- O incidente destaca os riscos de segurança contínuos na infraestrutura de criptomoedas, especialmente de atores de ameaça sofisticados e ligados a estados que exploram fraquezas operacionais.