Крипто-коммерческая компания Bitrefill раскрыла кибератаку, называет Lazarus Group из Северной Кореи возможным подозреваемым

Крипто-электронная коммерция и бизнес по продаже подарочных карт Bitrefill сообщили, что стали жертвой кибератаки, вероятно, совершённой поддерживаемой государством северокорейской хакерской группой Lazarus Group в начале этого месяца.

«Основываясь на индикаторах, наблюдавшихся в ходе расследования — включая используемый модус операнди, вредоносное ПО, анализ on-chain, а также повторно использованные IP- и электронные адреса (!) — мы обнаружили много сходств между этой атакой и прошлыми кибератаками Группы Lazarus / Bluenoroff из КНДР на другие компании в криптоиндустрии», — заявили во вторник в Bitrefill, ссылаясь на специализированную хакерскую подгруппу Bluenoroff.

По данным Bitrefill, хакеры смогли опустошить часть горячих кошельков компании и совершить подозрительные покупки у её поставщиков. Неясно, сколько средств было утрачено в результате атаки, которая также, предположительно, позволила получить доступ к более широкой инфраструктуре Bitrefill, включая части базы данных и определённые криптовалютные кошельки.

Атака, как утверждается, началась 1 марта и позволила получить доступ к 18 500 записям о покупках, потенциально раскрывая «ограниченную информацию о клиентах», такую как электронные адреса, адреса крипто-платежей и метаданные, включая IP-адреса.

Около 1 000 из этих скомпрометированных записей имеют более высокий риск раскрытия зашифрованных имён клиентов. Компания сообщила, что связалась с этими лицами.

Корейская Народно-Демократическая Республика (КНДР) на сегодняшний день является самой крупной и активной угрозой для безопасности криптовалют. По оценкам Chainalysis, связанные с КНДР группы и лица похитили рекордные $2,02 млрд посредством краж криптовалют в 2025 году — включая крупнейший на сегодняшний день инцидент с криптоэксплойтом: взлом биржи Bybit на $1,5 млрд, совершённый Lazarus, — из $3,4 млрд общего объёма похищенных средств.

В Bitrefill сообщили, что атака началась с компрометированного ноутбука сотрудника — схожего вектора атаки, который использовался и ранее. Как отмечает Chainalysis, Lazarus зачастую пытаются внедрять своих сотрудников в IT-сфере в криптокомпании, чтобы получить привилегированный доступ к информации или средствам.

Криптоэксплойты часто поднимают вопросы хранения компаниями персональных данных (PII). В прошлом году Coinbase раскрыла, что киберпреступники подкупили зарубежных представителей службы поддержки биржи для получения пользовательских данных и записей по управлению аккаунтами, в результате атаки потери могли составить сотни миллионов долларов.

Bitrefill отметила, что не требует обязательного прохождения KYC для большинства покупок, а в случаях, когда KYC требуется, «эти данные хранятся исключительно у нашего внешнего провайдера KYC и не имеют резервных копий на наших серверах».

«Основываясь на нашем расследовании и логах, у нас нет оснований полагать, что целью атаки стали данные клиентов», — заявили в Bitrefill. — «Нет свидетельств того, что была извлечена вся наша база данных, лишь то, что злоумышленники исполнили ограниченное число запросов, характерных для разведки с целью выяснить, что именно можно похитить, включая криптовалюту и запасы подарочных карт Bitrefill».

Компания «возьмёт на себя» все убытки за счёт своего операционного капитала. Во время реагирования на атаку она сотрудничала с компаниями в сфере кибербезопасности zeroShadow, SEAL911, RecoverisTeam и другими.

«Почти всё вернулось в норму: платежи, запасы, аккаунты», — сообщили в Bitrefill, отметив, что в качестве первичной меры по локализации инцидента системы были выведены офлайн. — «Объёмы продаж также восстановились, и мы бесконечно благодарны нашим клиентам за ваше постоянное доверие».