Bitrefill, 1 Mart 2026 tarihinde bir siber saldırıya maruz kaldığını açıkladı ve saldırganların sıcak cüzdanlarından fonları boşalttığını ve dahili altyapısının bazı bölümlerine eriştiğini ortaya koydu.
Şirket, araştırmasının, Lazarus Grubu ile bağlantılı geçmiş operasyonlarla birçok benzerlik tespit ettiğini söyledi. Ancak saldırıyı kesin olarak bu gruba atfetmedi.
İhlal, Bitrefill'in tedarik zinciriyle ilişkili sıra dışı satın alma kalıplarını ve cüzdanlarından yetkisiz transferleri tespit ettikten sonra ortaya çıktı. Şirket, olayı kontrol altına almak için sistemlerini hemen çevrimdışı bıraktı.
Saldırı, işe alınmış bir çalışan cihazıyla başladı
Bitrefill'e göre, sızıntı, saldırganların bir eski kimlik bilgisini çıkarmalarına izin veren bir çalışanın bilgisayarından kaynaklandı.
Verilen kimlik bilgileri, üretim gizliliklerini içeren bir anlık görüntüye erişim sağladı ve saldırganların şirket altyapısının bazı bölümlerinde yetkilerini yükseltmesine olanak tanıdı.
Oradan, saldırganlar iç sistemlere, veritabanı segmentlerine ve bazı kripto para cüzdanlarına erişim sağladı. Bu da nihayetinde fon hareketlerine ve operasyonel aksaklıklara yol açtı.
Tedarik kanalları istismar edilerek sıcak cüzdanlar boşaltıldı
Bitrefill, saldırganların hem hediye kartı envanter sistemi hem de kripto altyapısından yararlandığını söyledi.
Şüpheli satın alma faaliyetleri, tedarik zincirlerinin istismar edildiğini ve aynı anda sıcak cüzdanların boşaltılıp fonların saldırganın kontrolündeki adreslere aktarıldığını ortaya koydu.
Şirket, kaybedilen fonların toplam değerini açıklamadı. Ancak, ihlalin hem e-ticaret operasyonlarını hem de cüzdan bakiyelerini etkilediğini doğruladı.
18.500 kayıt erişildi, sınırlı veri maruziyeti
Veritabanı günlükleri, ihlal sırasında yaklaşık 18.500 satın alma kaydının erişildiğini gösterdi. Maruz kalan veriler şunları içeriyordu:
- E-posta adresleri
- Kripto ödeme adresleri
- IP adresleri gibi meta veriler
Yaklaşık 1.000 satın alım için müşteri adları dahil edildi. Bu veriler şifrelendi olsa da, Bitrefill, saldırganların şifreleme anahtarlarına erişmiş olabileceğini ve durumu potansiyel olarak maruz kalmış olarak değerlendiriyor.
Bu kategorideki kullanıcılar zaten bilgilendirildi.
Şirket, tam bir veritabanı çıkarımıyla ilgili hiçbir kanıt olmadığını vurguladı ve sorguların sınırlı ve keşif amaçlı göründüğünü belirtti.
Soruşturma kapsamında Lazarus ile ilişkili desenler tespit edildi
Bitrefill, kötü amaçlı yazılım analizi, zincir üzerinde izleme ve IP ile e-posta adresleri gibi yeniden kullanılan altyapıya dayalı araştırmasıyla, Lazarus Grubu ve ilişkili birimi Bluenoroff tarafından kullanılan bilinen taktiklerle benzerlikler ortaya çıkardı.
Atıf hala dikkatli olsa da, operasyon yöntemi ve araçlarda görülen örtüşme, saldırının kripto şirketlerini hedef alan önceki kampanyalarla uyumlu olabileceğini göstermektedir.
Sistemler normalleşen işlemler doğrultusunda yeniden aktif hale getirildi
Olayın ardından Bitrefill, güvenlik ihlalini kontrol altına almak ve operasyonları yeniden başlatmak için dış cybersecurity firmaları, zincir üzerindeki analistler ve yasal yetkililerle iş birliği yaptı. Ödeme ve ürün mevcudiyeti dahil olmak üzere çoğu hizmet, bu tarihten itibaren normal seyrine döndü.
Şirket, finansal olarak istikrarlı kaldığını ve kayıpları operasyonel sermayeden karşılayacağını belirtti. Ayrıca olaydan sonra atılan adımları şöyle sıraladı:
- Güçlendirilmiş erişim kontrolleri
- Geliştirilmiş izleme ve günlüğe alma
- Ek güvenlik denetimleri ve nüfuz testleri
Bitrefill, müşteri verilerinin ana hedef olmadığını ve mevcut bulgulara göre kullanıcıların şüpheli iletişimlere karşı dikkatli kalması dışında özel bir eylemde bulunmaları gerektiğini belirtti.
Son Özet
- Bitrefill, sıcak cüzdanları boşaltan ve sınırlı kullanıcı verilerini ortaya çıkaran bir siber saldırıyı onayladı; soruşturma, bu eylemlerin Lazarus Grubu'nun taktikleriyle benzerlikler gösterdiğini gösteriyor.
- Olay, kripto altyapısındaki sürekli güvenlik risklerini, özellikle operasyonel zayıflıkları hedefleyen gelişmiş, devlete bağlı tehdit aktörlerini vurgulamaktadır.