Bitrefill culpa a los hackers norcoreanos de la explotación de marzo y se compromete a cubrir las pérdidas

Bitrefill ha publicado un informe exhaustivo sobre una violación de seguridad que ocurrió el 1 de marzo, y cree que es obra del grupo de hackers norcoreano llamado Lazarus Group. 

El Grupo Lazarus también fue responsable de la mayor estafa única en la historia de las criptomonedas cuando golpeó a Bybit a principios del año pasado por más de 1.000 millones de dólares.

La empresa fue transparente sobre cómo ocurrió el incidente, pero no reveló la cantidad exacta robada. Bitrefill afirma que su red fue accedida a través de la computadora portátil comprometida de un empleado, lo que resultó en el vaciado de varias billeteras calientes. 

¿Ocultó Bitrefill que fue hackeado?  

Bitrefill ha publicado un informe pormenorizado exhaustivo sobre una violación de seguridad que comenzó el 1 de marzo. La empresa culpó formalmente del ataque al grupo de hackers norcoreano conocido como Grupo Lazarus o Bluenoroff debido a la evidencia que examinó, basada en el malware específico utilizado, el modus operandi de los atacantes, el rastreo en cadena de los fondos robados y la reutilización de direcciones IP y de correo electrónico específicas vinculadas previamente a operaciones norcoreanas.

El incidente comenzó cuando la computadora portátil de un empleado fue comprometida y utilizada como punto de entrada inicial para que los hackers accedieran a una credencial heredada. Esta credencial otorgó a los atacantes acceso a una instantánea de los sistemas de la empresa que contenía secretos de producción. 

Con estos secretos en su poder, el Grupo Lazarus pudo luego extender su acceso a través de la infraestructura de Bitrefill. Eventualmente alcanzaron partes de la base de datos de la empresa y varias billeteras calientes de criptomonedas.

El equipo de seguridad de Bitrefill notó por primera vez la violación a través de “patrones de compra sospechosos” que involucraban a sus proveedores. Los atacantes estaban explotando el stock de tarjetas de regalo de la empresa y las líneas de suministro. 

Simultáneamente, la empresa se dio cuenta de que los fondos estaban siendo drenados de sus billeteras calientes y movidos a billeteras controladas por los atacantes. 

En respuesta, Bitrefill desconectó inmediatamente todos los sistemas para contener la amenaza, pero debido a que la red de comercio electrónico global de la empresa tiene miles de productos y docenas de proveedores, el proceso de apagar y reiniciar la infraestructura de manera segura tomó más de dos semanas. 

¿Cuánto se robó durante la brecha de seguridad de Bitrefill?

La investigación de Bitrefill reveló que los hackers no estaban muy interesados en robar datos de clientes; además, no habrían podido hacerlo. La empresa enfatizó que su modelo de negocio está diseñado para almacenar muy poca información personal. No requiere documentación obligatoria de "Conozca a su Cliente" (KYC) para la mayoría de los usuarios, y los datos proporcionados para verificaciones de nivel superior son gestionados por un proveedor externo y no se almacenaron en los sistemas que fueron vulnerados.

Sin embargo, los atacantes accedieron a aproximadamente 18.500 registros de compras. Estos registros incluían direcciones de correo electrónico de los clientes, direcciones de pago de criptomonedas y metadatos como direcciones IP. 

Aproximadamente 1,000 de los clientes de Bitrefill que tuvieron que proporcionar nombres para productos específicos tenían sus datos encriptados. Sin embargo, dado que los hackers podrían haber accedido a las claves de encriptación, Bitrefil trata esos datos como potencialmente comprometidos y ya ha enviado correos electrónicos a los afectados.

En cuanto a las pérdidas financieras, Bitrefill ha anunciado que absorberá el impacto. Aunque las billeteras calientes fueron vaciadas, la empresa declaró que sigue estando bien financiada y ha sido rentable durante varios años. Todos los saldos de los usuarios permanecen seguros y sin afectar. 

Bitrefill trabajó con varias entidades de seguridad de alto perfil, incluidas Zeroshadow, SEAL Org y el Equipo Recoveris, para rastrear el movimiento de los fondos robados en la blockchain. También ayudaron en la limpieza forense de los servidores de la empresa. 

Bitrefill ha endurecido los controles de acceso interno para garantizar que una única vulneración no conduzca a una brecha total del sistema. La empresa también mejoró sus procedimientos de apagado para reaccionar más rápido ante solicitudes sospechosas de la base de datos.

La empresa también declaró que continúa realizando pruebas de penetración exhaustivas con expertos externos para encontrar cualquier vulnerabilidad restante. Actualmente, casi todos los servicios, incluidos los pagos, el reabastecimiento de existencias y las funciones de la cuenta, han vuelto a la normalidad.