Bitrefill розкрила деталі кібератаки від 1 березня 2026 року, з’ясувавши, що нападники вивели кошти зі своїх гарячих гаманців та отримали доступ до частини своєї внутрішньої інфраструктури.
Компанія заявила, що її розслідування виявило кілька схожостей із минулими операціями, пов’язаними з групою Lazarus. Однак вона не зробила остаточного висновку щодо винуватця атаки.
Порушення було виявлено після того, як Bitrefill зафіксував незвичайні патерни покупок, пов’язані зі своєю мережею постачальників, а також неавторизовані перекази зі своїх гаманців. Компанія негайно відключила свої системи, щоб обмежити інцидент.
Атака розпочалася з компрометованого пристрою працівника
За даними Bitrefill, вторгнення виникло через скомпрометований ноутбук працівника, що дозволило нападникам отримати застарілий обліковий запис.
Ці облікові дані надали доступ до знімка, що містив секрети виробничої середовища, дозволивши нападникам підвищити привілеї в частинах інфраструктури компанії.
Звідти нападники отримали доступ до внутрішніх систем, сегментів баз даних та певних гаманців криптовалют. Це в кінцевому підсумку призвело до переміщення коштів та порушень у роботі.
Гаманці зі зв’язком з інтернетом опорожнені через використання каналів постачання
Bitrefill сказала, що нападники використали як її систему інвентаризації подарункових карток, так і криптоінфраструктуру.
Підозріла активність щодо покупок виявила, що ланцюги постачання використовувалися з порушенням, тоді як гарячі гаманці одночасно опорожнювалися, а кошти переказувалися на адреси, що контролюються нападником.
Компанія не розкрила загальну суму втрачених коштів. Однак вона підтвердила, що порушення вплинуло на її електронну комерцію та баланси гаманців.
18 500 записів отримано, обмежений доступ до даних
Журнали бази даних показали, що під час порушення було отримано доступ приблизно до 18 500 записів про покупки. Розкриті дані включали:
- Адреси електронної пошти
- Криптовалютні адреси для платежів
- Метадані, такі як IP-адреси
Для приблизно 1 000 покупок були вказані імена клієнтів. Хоча ці дані були зашифровані, Bitrefill повідомила, що нападники могли отримати доступ до ключів шифрування, і розглядає це як потенційно витік.
Зазначені користувачі вже були проінформовані.
Компанія підкреслила, що немає доказів повного вилучення бази даних, зазначивши, що запити здавалися обмеженими та експериментальними.
Зразки, пов’язані з Lazarus, виявлено під час розслідування
Bitrefill зазначила, що її розслідування — на основі аналізу шкідливого ПЗ, трасування в ланцюжку та використаної інфраструктури, такої як IP-адреси та електронні адреси — виявило подібності з відомими тактиками групи Lazarus та її пов’язаного підрозділу Bluenoroff.
Хоча приписування залишається обережним, перетин у методах дії та інструментах свідчить про те, що атака може збігатися з попередніми кампаніями, спрямованими на криптовалютні компанії.
Системи відновлено, а операції нормалізувалися
Після інциденту Bitrefill співпрацювала ззовнішніми кібербезпековими фірмами, аналітиками ланцюга та правоохоронними органами, щоб припинити порушення та відновити роботу. Більшість послуг, включаючи платежі та наявність продуктів, знову повернулися до норми.
Компанія заявила, що залишається фінансово стабільною і покриє збитки за рахунок операційного капіталу. Вона також визначила кроки, вжиті після інциденту, зокрема:
- Посилені контролі доступу
- Розширений моніторинг та логування
- Додаткові аудити безпеки та тестування на проникнення
Bitrefill зазначила, що дані клієнтів не були основною метою, і згідно з поточними даними, користувачам не потрібно вживати конкретних заходів, крім збереження обережності щодо підозрілих повідомлень.
Фінальний підсумок
- Bitrefill підтвердила кібератаку, під час якої було розкрадено кошти з гарячих гаманців та викрадено обмежені дані користувачів; розслідування вказує на подібність з тактиками групи Lazarus.
- Цей інцидент підкреслює постійні ризики безпеки в інфраструктурі криптовалют, зокрема з боку досвідчених, пов’язаних з державою загроз, які націлені на слабкі місця в операційній діяльності.