Bitrefill đã tiết lộ chi tiết về cuộc tấn công mạng vào ngày 1 tháng 3 năm 2026, cho thấy kẻ tấn công đã rút hết tiền từ các ví nóng của họ và truy cập vào một số bộ phận trong cơ sở hạ tầng nội bộ.
Công ty cho biết cuộc điều tra của họ đã xác định được nhiều điểm tương đồng với các hoạt động trước đây liên quan đến Nhóm Lazarus. Tuy nhiên, họ không đưa ra kết luận chắc chắn về tác nhân gây ra cuộc tấn công.
Việc xâm phạm được phát hiện sau khi Bitrefill quan sát thấy các mô hình mua sắm bất thường liên quan đến mạng lưới nhà cung cấp của mình, cùng với các khoản chuyển không được ủy quyền từ các ví của họ. Công ty đã ngay lập tức tắt hệ thống để kiểm soát sự cố.
Cuộc tấn công bắt đầu từ thiết bị nhân viên bị xâm phạm
Theo Bitrefill, cuộc xâm nhập bắt nguồn từ máy tính xách tay của nhân viên bị xâm phạm, cho phép kẻ tấn công trích xuất thông tin xác thực cũ.
Thông tin xác thực đó cung cấp quyền truy cập vào bản sao lưu chứa các bí mật sản xuất, cho phép kẻ tấn công tăng quyền truy cập trên một số bộ phận của hạ tầng công ty.
Từ đó, những kẻ tấn công đã có quyền truy cập vào các hệ thống nội bộ, các đoạn cơ sở dữ liệu và một số ví tiền điện tử. Điều này cuối cùng dẫn đến các chuyển động quỹ và gián đoạn hoạt động.
Các ví nóng bị rút sạch do các kênh cung ứng bị khai thác
Bitrefill cho biết các kẻ tấn công đã khai thác cả hệ thống kho thẻ quà tặng và cơ sở hạ tầng tiền điện tử của họ.
Hoạt động mua hàng đáng ngờ cho thấy các đường dây cung ứng đang bị lạm dụng, trong khi các ví nóng đồng thời bị rút sạch và tiền được chuyển đến các địa chỉ do kẻ tấn công kiểm soát.
Công ty không tiết lộ tổng giá trị số tiền bị mất. Tuy nhiên, công ty xác nhận rằng sự vi phạm đã ảnh hưởng đến cả hoạt động thương mại điện tử và số dư ví.
Đã truy cập 18.500 bản ghi, hạn chế mức độ phơi nhiễm dữ liệu
Nhật ký cơ sở dữ liệu cho thấy khoảng 18.500 bản ghi mua hàng đã được truy cập trong vụ xâm phạm. Dữ liệu bị lộ bao gồm:
- Địa chỉ email
- Địa chỉ thanh toán tiền điện tử
- Dữ liệu siêu như địa chỉ IP
Đối với khoảng 1.000 giao dịch, tên khách hàng đã được bao gồm. Mặc dù dữ liệu này đã được mã hóa, Bitrefill cho biết kẻ tấn công có thể đã truy cập vào các khóa mã hóa và đang xử lý tình huống này như thể dữ liệu đã bị lộ.
Các người dùng bị ảnh hưởng trong danh mục này đã được thông báo.
Công ty nhấn mạnh rằng không có bằng chứng nào về việc trích xuất toàn bộ cơ sở dữ liệu, lưu ý rằng các truy vấn dường như bị giới hạn và mang tính tìm hiểu.
Các mô hình liên quan đến Lazarus đã được phát hiện trong cuộc điều tra
Bitrefill cho biết cuộc điều tra của họ—dựa trên phân tích phần mềm độc hại, truy vết trên chuỗi và cơ sở hạ tầng được sử dụng lại như địa chỉ IP và email—đã tiết lộ những điểm tương đồng với các chiến thuật đã biết của Nhóm Lazarus và đơn vị liên quan của họ, Bluenoroff.
Mặc dù vẫn thận trọng trong việc gán trách nhiệm, sự trùng lặp về phương thức hoạt động và công cụ cho thấy cuộc tấn công có thể phù hợp với các chiến dịch trước đây nhắm vào các công ty tiền điện tử.
Hệ thống đã được khôi phục khi hoạt động trở lại bình thường
Sau sự cố, Bitrefill đã hợp tác với các công ty an ninh mạng bên ngoài, các nhà phân tích trên chuỗi và cơ quan thực thi pháp luật để kiểm soát sự xâm nhập và khôi phục hoạt động. Hầu hết các dịch vụ, bao gồm thanh toán và khả năng sẵn có của sản phẩm, đã trở lại bình thường.
Công ty cho biết vẫn duy trì sự ổn định tài chính và sẽ gánh chịu tổn thất từ vốn hoạt động. Công ty cũng nêu ra các bước đã thực hiện sau sự cố, bao gồm:
- Các biện pháp kiểm soát truy cập được tăng cường
- Mở rộng giám sát và ghi nhật ký
- Các cuộc kiểm toán bảo mật bổ sung và kiểm thử xâm nhập
Bitrefill cho biết dữ liệu khách hàng không phải là mục tiêu chính và dựa trên các phát hiện hiện tại, người dùng không cần thực hiện hành động cụ thể nào ngoài việc tiếp tục cảnh giác với các thông tin đáng ngờ.
Tổng kết cuối cùng
- Bitrefill đã xác nhận một cuộc tấn công mạng làm cạn ví nóng và phơi bày dữ liệu người dùng hạn chế, với cuộc điều tra chỉ ra những điểm tương đồng với các chiến thuật của Nhóm Lazarus.
- Sự cố này làm nổi bật những rủi ro bảo mật đang diễn ra trong cơ sở hạ tầng tiền mã hóa, đặc biệt từ các tác nhân đe dọa tinh vi, có liên kết với nhà nước nhắm vào các điểm yếu vận hành.