Bitrefill раскрыла детали кибератаки от 1 марта 2026 года, сообщив, что злоумышленники извлекли средства из своих горячих кошельков и получили доступ к частям своей внутренней инфраструктуры.
Компания заявила, что ее расследование выявило множество сходств с прошлыми операциями, связанными с группой Lazarus. Однако она не стала однозначно приписывать атаку.
Утечка была обнаружена после того, как Bitrefill зафиксировала необычные паттерны покупок, связанные с его сетью поставщиков, а также несанкционированные переводы из его кошельков. Компания немедленно отключила свои системы, чтобы ограничить инцидент.
Атака началась с компрометированного устройства сотрудника
Согласно Bitrefill, вторжение произошло с зараженного ноутбука сотрудника, что позволило злоумышленникам извлечь устаревшие учетные данные.
Эти учетные данные предоставили доступ к снимку, содержащему производственные секреты, что позволило злоумышленникам повысить привилегии в частях инфраструктуры компании.
Оттуда злоумышленники получили доступ к внутренним системам, сегментам баз данных и некоторым кошелькам криптовалют. Это в конечном итоге привело к перемещению средств и сбоям в работе.
Горячие кошельки опустошены из-за эксплуатации каналов поставок
Bitrefill заявила, что злоумышленники использовали как систему управления запасами подарочных карт, так и криптоинфраструктуру.
Подозрительная активность по покупке выявила, что цепочки поставок использовались в неправильных целях, в то время как горячие кошельки одновременно опустошались, а средства переводились на адреса, контролируемые злоумышленниками.
Компания не раскрыла общую сумму потерянных средств. Тем не менее, она подтвердила, что инцидент затронул как её электронную коммерцию, так и балансы кошельков.
18 500 записей доступно, ограниченный доступ к данным
Журналы базы данных показали, что во время утечки были получены доступ примерно к 18 500 записям о покупках. Раскрытые данные включали:
- Адреса электронной почты
- Криптовалютные адреса для оплаты
- Метаданные, такие как IP-адреса
Для примерно 1 000 покупок были указаны имена клиентов. Хотя эти данные были зашифрованы, Bitrefill заявила, что злоумышленники могли получить доступ к ключам шифрования, и рассматривает эту информацию как потенциально раскрытую.
Пользователи, затронутые в этой категории, уже были уведомлены.
Компания подчеркнула, что нет доказательств полного извлечения базы данных, отметив, что запросы казались ограниченными и разведочными.
Обнаружены паттерны, связанные с Lazarus, в ходе расследования
Bitrefill заявила, что её расследование — основанное на анализе вредоносного ПО, цепочках транзакций в блокчейне и повторно используемой инфраструктуре, такой как IP-адреса и электронные адреса — выявило сходства с известными тактиками, используемыми группой Lazarus и её ассоциированным подразделением Bluenoroff.
Хотя причастность остается осторожной, пересечение методов и инструментов указывает на то, что атака может соответствовать предыдущим кампаниям, нацеленным на криптовалютные компании.
Системы восстановлены, операции нормализуются
После инцидента Bitrefill сотрудничала с внешними кибербезопасностными фирмами, аналитиками в блокчейне и правоохранительными органами, чтобы локализовать утечку и восстановить работу. Большинство сервисов, включая оплату и доступность продуктов, уже вернулись к норме.
Компания заявила, что сохраняет финансовую устойчивость и покроет убытки за счет операционного капитала. Она также описала меры, принятые после инцидента, включая:
- Усиленные контрольные меры доступа
- Расширенный мониторинг и ведение журналов
- Дополнительные аудиты безопасности и тестирование на проникновение
Bitrefill заявила, что данные клиентов не были основной целью, и, согласно текущим данным, пользователям не нужно предпринимать специальных действий, кроме как оставаться бдительными в отношении подозрительных сообщений.
Финальное резюме
- Bitrefill подтвердила кибератаку, в результате которой были опустошены горячие кошельки и раскрыты ограниченные данные пользователей; расследование указывает на сходство с тактикой группы Lazarus.
- Инцидент подчеркивает постоянные риски безопасности в криптоинфраструктуре, особенно со стороны сложных, связанных с государством злоумышленников, нацеливающихся на операционные уязвимости.