Bitrefill Cyberattack
Bitrefill, en plattform som möjliggör för användare att byta kryptovaluta mot presentkort och telefonkredit, meddelade på tisdagen att de blev måltavla för en cyberattack den 1 mars. Enligt företaget inleddes attacken med en komprometterad anställds bärbara dator och spred sig sedan till deras bredare infrastruktur efter att angriparna exfiltrerat en gammal autentisering kopplad till en ögonblicksbild som innehöll produktionshemligheter.
Incidentrapport och Upptäckter
I en incidentrapport som publicerades på X, uppgav företaget att angriparna gick från initial åtkomst till delar av deras databas och vissa kryptovaluta plånböcker, samtidigt som de utnyttjade presentkortsinventarier och leverantörers inköpslinjer. Bitrefill upptäckte intrånget efter att ha observerat misstänkta inköpsmönster från leverantörer. När detta bekräftades tog de alla system offline som en del av åtgärderna för att begränsa skadorna.
Företaget hade tidigare den 1 mars meddelat att de hanterade ett ”tekniskt problem” och senare ett ”säkerhetsproblem”, vid vilket tillfälle de stängde ner alla tjänster. Tisdagen var första gången som Bitrefill gav fullständiga detaljer om attacken och de potentiella gärningsmännen.
Utredning och Indikationer
Företaget uppgav att deras utredning hade funnit flera indikatorer som liknade tidigare branschattacker från de nordkoreanska statssponsrade hackargrupperna Lazarus och Bluenoroff, inklusive mönster av skadlig programvara, on-chain spårning och återanvänd infrastruktur. Bitrefill har arbetat med incidentrespons, on-chain analytiker och brottsbekämpande myndigheter medan utredningen fortsätter.
Kundpåverkan
När det gäller kundpåverkan sa Bitrefill att loggar visar ingen bevisning för fullständig exfiltrering av databasen, men en delmängd av posterna hade åtkomst. Företaget uppgav att cirka 18 500 inköpsposter påverkades, inklusive begränsade fält som e-postadresser, kryptovaluta betalningsadresser och metadata inklusive IP-adresser.
För ungefär 1 000 inköp som krävde kundnamn sa Bitrefill att dessa fält var krypterade men behandlar dem som potentiellt åtkomna eftersom angriparna kan ha fått relevanta nycklar. Användare i den berörda delmängden informerades direkt via e-post.
Säkerhetsåtgärder och Rekommendationer
Bitrefill påpekade att de inte kräver obligatorisk KYC och lagrar verifieringsinformation hos en extern leverantör, snarare än i interna säkerhetskopior. Baserat på nuvarande fynd anser företaget att kunder inte behöver vidta specifika åtgärder, men de rekommenderar försiktighet kring oväntad kommunikation relaterad till Bitrefill eller kryptovaluta.
Företaget meddelade att de flesta operationer nu är tillbaka till det normala, inklusive betalningar, lager och konton, och att förluster kommer att absorberas genom operativt kapital. Bitrefill fortsätter också med externa säkerhetsgranskningar och penetrationstester, skärper interna åtkomstkontroller och uppgraderar loggning, övervakning och automatisering av incidentrespons.
Bakgrund om Nordkoreanska Hackargrupper
Nordkoreanska hackargrupper har kopplats av myndigheterna till många framstående kryptovalutaindustriheists, inklusive förra årets hack av Bybit-börsen på 1,4 miljarder dollar och 2022 års hack av Ronin-spel nätverket kopplat till kryptospel Axie Infinity. Förra året snodde hackare kopplade till Nordkorea över 2 miljarder dollar i kryptovaluta, enligt en rapport från Chainalysis.
