Bitrefill macht nordkoreanische Hacker für den 1. März-Vorfall verantwortlich und verpflichtet sich, Verluste zu übernehmen

Bitrefill hat einen umfassenden Bericht über einen Sicherheitsvorfall veröffentlicht, der am 1. März stattfand, und geht davon aus, dass die nordkoreanische Hackergruppe Lazarus Group dahintersteckt. 

Die Lazarus Group war auch für den größten Einzelraub in der Krypto-Geschichte verantwortlich, als sie Anfang letzten Jahres Bybit für mehr als 1 Milliarde Dollar traf.

Das Unternehmen war transparent darüber, wie der Vorfall stattfand, gab jedoch den genauen gestohlenen Betrag nicht bekannt. Bitrefill behauptet, dass sein Netzwerk über den kompromittierten Laptop eines Mitarbeiters zugänglich gemacht wurde, was dazu führte, dass mehrere Hot-Wallets geleert wurden. 

Hat Bitrefill verschwiegen, dass es gehackt wurde?  

Bitrefill hat einen umfassenden Post-Mortem-Bericht über einen Sicherheitsvorfall veröffentlicht, der am 1. März begann. Das Unternehmen machte den Angriff aufgrund der von ihm untersuchten Beweise, der spezifischen verwendeten Malware, der Arbeitsweise der Angreifer, der on-Chain-Verfolgung der gestohlenen Gelder und der Wiederverwendung bestimmter IP- und E-Mail-Adressen, die zuvor mit nordkoreanischen Operationen in Verbindung gebracht wurden, offiziell der nordkoreanischen Hackergruppe Lazarus Group oder Bluenoroff an.

Der Vorfall begann, als der Laptop eines Mitarbeiters kompromittiert und als erster Eintrittspunkt für die Hacker genutzt wurde, um Zugriff auf ein Legacy-Anmeldecredential zu erhalten. Dieses Credential gewährte den Angreifern Zugriff auf eine Momentaufnahme der Systemlandschaft des Unternehmens, die Produktionsgeheimnisse enthielt. 

Mit diesen Geheimnissen in der Hand konnte die Lazarus Group ihren Zugriff dann auf die Infrastruktur von Bitrefill ausdehnen. Sie erreichten schließlich Teile der Unternehmensdatenbank und mehrere Kryptowährungs-Hot-Wallets.

Bitrefills Sicherheitsteam bemerkte den Vorfall erstmals durch „verdächtige Kaufmuster“ in Bezug auf ihre Lieferanten. Die Angreifer ausnutzten den Geschenkgutschein-Vorrat und die Lieferketten des Unternehmens. 

Gleichzeitig stellte das Unternehmen fest, dass Gelder aus ihren Hot-Wallets abgezogen und auf von den Angreifern kontrollierte Wallets transferiert wurden. 

Als Reaktion darauf schaltete Bitrefill sofort alle Systeme offline, um die Bedrohung einzudämmen. Da das globale E-Commerce-Netzwerk des Unternehmens jedoch Tausende von Produkten und Dutzende von Lieferanten umfasst, dauerte der sichere Herunterfahr- und Neustartprozess der Infrastruktur über zwei Wochen. 

Wie viel wurde während des Bitrefill-Vorfalls gestohlen?

Bitrefills Untersuchung ergab, dass die Hacker nicht sehr daran interessiert waren, Kundendaten zu stehlen; zumindest hätten sie das nicht können. Das Unternehmen betonte, dass sein Geschäftsmodell so konzipiert ist, dass nur sehr wenige persönliche Informationen gespeichert werden. Für die meisten Benutzer sind keine obligatorischen „Know Your Customer“ (KYC)-Dokumente erforderlich, und Daten, die für eine höherstufige Verifizierung bereitgestellt werden, werden von einem externen Anbieter verwaltet und nicht auf den kompromittierten Systemen gespeichert.

Die Angreifer hatten jedoch Zugriff auf etwa 18.500 Kaufaufzeichnungen. Diese Aufzeichnungen enthielten E-Mail-Adressen der Kunden, Kryptowährungs-Zahlungsadressen und Metadaten wie IP-Adressen. 

Etwa 1,000 der Kunden von Bitrefill , die für bestimmte Produkte Namen angeben mussten, hatten ihre Daten verschlüsselt. Da die Hacker jedoch möglicherweise Zugriff auf die Verschlüsselungsschlüssel hatten, behandelt Bitrefill diese Daten als potenziell kompromittiert und hat die Betroffenen bereits per E-Mail informiert.

Bezüglich der finanziellen Verluste hat Bitrefill angekündigt, die Auswirkungen selbst zu tragen. Obwohl Hot-Wallets geleert wurden, erklärte das Unternehmen, dass es gut kapitalisiert ist und seit mehreren Jahren profitabel ist. Alle Benutzerkontostände bleiben sicher und unbeeinflusst. 

Bitrefill arbeitete mit mehreren hochkarätigen Sicherheitsunternehmen zusammen, darunter Zeroshadow, SEAL Org und das Recoveris Team, um die Bewegung der gestohlenen Gelder auf der Blockchain nachzuvollziehen. Sie halfen auch bei der forensischen Bereinigung der Server des Unternehmens. 

Bitrefill hat seitdem die internen Zugriffsrechte verschärft, um sicherzustellen, dass ein einzelner Kompromiss nicht zu einem vollständigen Systembruch führt. Das Unternehmen hat auch seine Shutdown-Verfahren verbessert, um schneller auf verdächtige Datenbankanfragen reagieren zu können.

Das Unternehmen erklärte auch, dass es weiterhin gründliche Penetrationstests (Pentests) mit externen Experten durchführt, um verbleibende Schwachstellen zu finden. Derzeit sind fast alle Dienste, einschließlich Zahlungen, Lagerauffüllung und Kontofunktionen, wieder normal.